• CWE-295: Improper Certificate Validation

Das Produkt validiert ein Zertifikat nicht oder validiert es fehlerhaft.

CWE-Referenz › CWE-295: Improper Certificate Validation

CWE-295: Improper Certificate Validation

CWE ID: 295
Name: Improper Certificate Validation

Beschreibung

Das Produkt validiert ein Zertifikat nicht oder validiert es fehlerhaft.

Erweiterte Beschreibung

Wenn ein Zertifikat ungültig oder bösartig ist, kann dies einem Angreifer ermöglichen, eine vertrauenswürdige Entität zu fälschen, indem er in den Kommunikationspfad zwischen Host und Client eingreift. Das Produkt könnte sich mit einem bösartigen Host verbinden, während es ihn für einen vertrauenswürdigen hält, oder es könnte dazu verleitet werden, gefälschte Daten zu akzeptieren, die scheinbar von einem vertrauenswürdigen Host stammen.

Risikominderungsmaßnahmen

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Zertifikate sollten sorgfältig verwaltet und überprüft werden, um sicherzustellen, dass Daten mit dem öffentlichen Schlüssel des beabsichtigten Eigentümers verschlüsselt werden.

Maßnahme (Implementation)

Effektivität: Unknown
Beschreibung: Wenn Certificate Pinning eingesetzt wird, stellen Sie sicher, dass alle relevanten Properties des Zertifikats vollständig validiert werden, bevor das Zertifikat gepinnt wird, einschließlich des Hostnamens.

Detaillierter Hintergrund

Ein Zertifikat ist ein Token, das eine Identität (Principal) mit einem kryptografischen Schlüssel verknüpft. Zertifikate können verwendet werden, um zu überprüfen, ob ein öffentlicher Schlüssel dem angenommenen Eigentümer zugeordnet ist.

Ist Ihre IT-Infrastruktur betroffen?

Schwachstellen wie CWE-295: Improper Certificate Validation werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:

  • Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
  • Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
  • Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen
Kostenloses Erstgespräch Für mittelständische Unternehmen