• CWE-410: Insufficient Resource Pool

Der Produkt-Ressourcenpool ist nicht ausreichend dimensioniert, um Spitzenlasten zu bewältigen. Dies ermöglicht es einem Angreifer, andere von der Nutzung der Ressource auszuschließen, indem er eine (relativ) große Anzahl von Ressourcenanfragen sendet.

CWE-Referenz › CWE-410: Insufficient Resource Pool

CWE-410: Insufficient Resource Pool

CWE ID: 410
Name: Insufficient Resource Pool

Beschreibung

Der Produkt-Ressourcenpool ist nicht ausreichend dimensioniert, um Spitzenlasten zu bewältigen. Dies ermöglicht es einem Angreifer, andere von der Nutzung der Ressource auszuschließen, indem er eine (relativ) große Anzahl von Ressourcenanfragen sendet.

Erweiterte Beschreibung

Häufig ist die Folge eine “Flood” von Verbindungen oder Sessions.

Risikominderungsmaßnahmen

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Führen Sie keine ressourcenintensiven Transaktionen für nicht authentifizierte Benutzer und/oder ungültige Requests durch.

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Es wird empfohlen, einen Velocity Check Mechanismus zu implementieren, der missbräuchliches Verhalten erkennen kann.

Maßnahme (Operation)

Effektivität: Unknown
Beschreibung: Erwägen Sie Load Balancing als Option zur Bewältigung hoher Lasten.

Maßnahme (Implementation)

Effektivität: Unknown
Beschreibung: Stellen Sie sicher, dass Ressourcen-Handles geschlossen werden, wenn sie nicht mehr benötigt werden.

Maßnahme (Architecture and Design)

Effektivität: Unknown
Beschreibung: Identifizieren Sie die ressourcenintensiven Operationen des Systems und erwägen Sie, diese vor Missbrauch zu schützen (z.B. vor bösartigen, automatisierten Skripten, die die Ressourcen erschöpfen).

Ist Ihre IT-Infrastruktur betroffen?

Schwachstellen wie CWE-410: Insufficient Resource Pool werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:

  • Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
  • Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
  • Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen
Kostenloses Erstgespräch Für mittelständische Unternehmen