CWE-Referenz › CWE-539: Use of Persistent Cookies Containing Sensitive Information
CWE-539: Use of Persistent Cookies Containing Sensitive Information
CWE ID: 539
Name: Use of Persistent Cookies Containing Sensitive Information
Beschreibung
Die Webanwendung verwendet persistente Cookies, wobei diese Cookies sensible Informationen enthalten.
Erweiterte Beschreibung
Cookies sind kleine Datenmengen, die von der Webanwendung versendet und lokal im Browser gespeichert werden. Dies ermöglicht es der Anwendung, die Cookies zur Übergabe von Informationen zwischen Seiten zu nutzen und variable Informationen zu speichern. Die Webanwendung kontrolliert, welche Informationen in einem Cookie gespeichert werden und wie diese verwendet werden. Typische Arten von Informationen, die in Cookies gespeichert werden, sind Session-IDs, Personalisierungs- und Anpassungsinformationen und in seltenen Fällen sogar Benutzernamen, um automatisierte Logins zu ermöglichen. Es gibt zwei verschiedene Arten von Cookies: Session-Cookies und persistente Cookies. Session-Cookies existieren lediglich im Browser-Speicher und werden nirgends gespeichert, während persistente Cookies auf der Browser-Festplatte abgelegt werden. Dies kann Sicherheits- und Datenschutzprobleme verursachen, abhängig von den in dem Cookie gespeicherten Informationen und wie diese abgerufen werden.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Speichern Sie keine sensiblen Informationen in persistenten Cookies.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-539: Use of Persistent Cookies Containing Sensitive Information werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen