CWE-Referenz › CWE-467: Use of sizeof() on a Pointer Type
CWE-467: Use of sizeof() on a Pointer Type
CWE ID: 467
Name: Use of sizeof() on a Pointer Type
Beschreibung
Der Code verwendet sizeof() auf einem Pointer-Typ, was zu einer fehlerhaften Berechnung führen kann, falls der Programmierer die Größe der Daten bestimmen wollte, auf die der Pointer zeigt.
Erweiterte Beschreibung
Die Verwendung von sizeof() auf einem Pointer kann gelegentlich nützliche Informationen liefern. Ein offensichtlicher Fall ist die Ermittlung der Wortgröße auf einer Plattform. Häufiger weist das Auftreten von sizeof(pointer) jedoch auf einen Fehler hin.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Verwenden Sie Ausdrücke wie “sizeof(*pointer)” anstelle von “sizeof(pointer)”, es sei denn, Sie beabsichtigen, sizeof() auf einen Pointer-Typ anzuwenden, um eine gewisse Plattformunabhängigkeit zu erreichen, oder wenn Sie eine Variable auf dem Stack allozieren.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-467: Use of sizeof() on a Pointer Type werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen