CWE ID: 441
Name: Unintended Proxy or Intermediary (‘Confused Deputy’)
Das Produkt empfängt eine Anfrage, Nachricht oder Direktive von einer vorgelagerten Komponente, bewahrt jedoch nicht ausreichend die ursprüngliche Quelle der Anfrage, bevor diese an einen externen Akteur weitergeleitet wird, der außerhalb der Kontrolle des Produkts liegt. Dies führt dazu, dass das Produkt als Ursprung der Anfrage erscheint und als eine Art Proxy oder anderes Intermediär zwischen der vorgelagerten Komponente und dem externen Akteur fungiert. Eine fehlende request provenance kann schwerwiegende Sicherheitsimplikationen haben und die traceability beeinträchtigen.
Effektivität: Unknown
Beschreibung: Implementieren Sie einen robusten Mechanismus für die gegenseitige Authentifizierung zwischen den beiden Parteien. Die Verwendung eines starken mutual authentication Verfahrens ist essenziell, um die Integrität der Kommunikation und die Identität beider Seiten zu gewährleisten. Dies minimiert das Risiko von man-in-the-middle attacks und erhöht die Sicherheit des gesamten Systems.
Effektivität: Unknown
Beschreibung: Wenn ein Produkt als Vermittler oder Proxy für Transaktionen zwischen zwei anderen Komponenten fungiert, darf der Proxy-Kern die Identität des Initiators der Transaktion nicht verwerfen. Die Unveränderlichkeit der Initiator-Identität muss gewahrt und sie vollständig an das Ziel weitergeleitet werden. Dies ist entscheidend, um die traceability und accountability zu gewährleisten und die Einhaltung von compliance-Anforderungen sicherzustellen. Ein Verlust der Initiator-Informationen könnte die forensic analysis im Falle eines Sicherheitsvorfalls erheblich erschweren.
