CWE-Referenz › CWE-396: Declaration of Catch for Generic Exception
CWE-396: Declaration of Catch for Generic Exception
CWE ID: 396
Name: Declaration of Catch for Generic Exception
Beschreibung
Das Abfangen von zu weit gefassten Exceptions fördert komplexe Error-Handling-Code, der anfälliger für Security Vulnerabilities ist.
Erweiterte Beschreibung
Mehrere Catch-Blöcke können unübersichtlich und repetitiv werden, aber das “Kondensieren” von Catch-Blöcken durch das Abfangen einer High-Level-Klasse wie Exception kann Exceptions verschleiern, die eine spezielle Behandlung erfordern oder an dieser Stelle im Programm nicht abgefangen werden sollten. Das Abfangen einer zu weit gefassten Exception zunichtemacht im Wesentlichen den Zweck von typisierten Exceptions einer Programmiersprache und kann besonders gefährlich werden, wenn das Programm wächst und beginnt, neue Exception-Typen zu werfen. Diese neuen Exception-Typen erhalten dann keine Beachtung.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-396: Declaration of Catch for Generic Exception werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen