CWE-Referenz › CWE-391: Unchecked Error Condition
CWE-391: Unchecked Error Condition
CWE ID: 391
Name: Unchecked Error Condition
Beschreibung
[GEPLANT ZUR EINFÄHRUNG VON VERALTUNG. SIEHE WARTUNGSNOTIZEN UND BEACHTEN SIE CWE-252, CWE-248 oder CWE-1069.] Das Ignorieren von Exceptions und anderen Fehlerbedingungen kann es einem Angreifer ermöglichen, unerwartetes Verhalten unbemerkt auszulösen.
Risikominderungsmaßnahmen
Maßnahme (Requirements)
Effektivität: Unknown
Beschreibung: Die Entscheidung zwischen einer Programmiersprache mit benannten oder unbenannten Exceptions muss getroffen werden. Während unbenannte Exceptions die Wahrscheinlichkeit erhöhen, Exceptions nicht ordnungsgemäß zu behandeln, leiden benannte Exceptions unter der “up call”-Version des Problems der schwachen Basisklasse (weak base class problem).
Maßnahme (Requirements)
Effektivität: Unknown
Beschreibung: Eine Programmiersprache kann verwendet werden, die zur Kompilierzeit die Behandlung aller kritischen Exceptions erzwingt. Es ist jedoch sicherzustellen, dass stets die aktuellste Version der API verwendet wird, da neue Exceptions hinzugefügt werden könnten.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Fange alle relevanten Exceptions ab. Dies ist die empfohlene Lösung. Stelle sicher, dass alle Exceptions so behandelt werden, dass du jederzeit den Zustand deines Systems sicherstellen kannst.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-391: Unchecked Error Condition werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen