CWE-Referenz › CWE-382: J2EE Bad Practices: Use of System.exit()
CWE-382: J2EE Bad Practices: Use of System.exit()
CWE ID: 382
Name: J2EE Bad Practices: Use of System.exit()
Beschreibung
Eine J2EE-Anwendung verwendet System.exit(), was auch zum Herunterfahren ihres Containers führt.
Erweiterte Beschreibung
Es ist niemals ratsam, dass eine Webanwendung versucht, den Anwendungskontainer herunterfährt. Der Zugriff auf eine Funktion, die den Anwendungskontainer beenden kann, stellt eine Angriffsoberfläche für Denial of Service (DoS)-Angriffe dar.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Die Shutdown-Funktion sollte eine privilegierte Funktion sein, die ausschließlich für autorisierte administrative User zugänglich ist.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Webanwendungen sollten keine Methoden aufrufen, die zum Beenden der virtuellen Maschine führen, wie beispielsweise System.exit().
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Webanwendungen sollten zudem keine Exceptions oder andere Throwables an den Application Server werfen, da dies den Container negativ beeinflussen kann.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Nicht-Web-Anwendungen können eine main()-Methode enthalten, die einen System.exit()-Aufruf beinhaltet, sollten aber generell System.exit() nicht von anderen Stellen im Code aufrufen.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-382: J2EE Bad Practices: Use of System.exit() werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen