CWE-Referenz › CWE-547: Use of Hard-coded, Security-relevant Constants
CWE-547: Use of Hard-coded, Security-relevant Constants
CWE ID: 547
Name: Use of Hard-coded, Security-relevant Constants
Beschreibung
Das Produkt verwendet fest codierte Konstanten anstelle von symbolischen Namen für security-kritische Werte, was die Wahrscheinlichkeit von Fehlern während der Code-Wartung oder bei Änderungen der Security Policy erhöht.
Erweiterte Beschreibung
Sollte der Entwickler nicht alle Vorkommnisse der fest codierten Konstanten identifizieren, kann eine fehlerhafte Policy-Entscheidung getroffen werden, falls eine dieser Konstanten nicht angepasst wird. Änderungen dieser Werte erfordern Code-Modifikationen, die nach der Freigabe des Systems in die Produktion schwierig oder unmöglich zu implementieren sein können. Darüber hinaus könnten diese fest codierten Werte Angreifern zur Verfügung stehen, falls der Code jemals offengelegt wird.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Vermeiden Sie die Verwendung von hard-coded Konstanten. Konfigurationsdateien bieten eine flexiblere Lösung.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-547: Use of Hard-coded, Security-relevant Constants werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen