CWE-Referenz › CWE-551: Incorrect Behavior Order: Authorization Before Parsing and Canonicalization
CWE-551: Incorrect Behavior Order: Authorization Before Parsing and Canonicalization
CWE ID: 551
Name: Incorrect Behavior Order: Authorization Before Parsing and Canonicalization
Beschreibung
Sollte ein Webserver angefragte URLs nicht vollständig parsen, bevor er sie auf Authorisierung prüft, kann es einem Angreifer möglicherweise gelingen, die Authorisierungsschutz zu umgehen.
Erweiterte Beschreibung
Beispielsweise bedeuten die Zeichenketten /./ und / beide das aktuelle Verzeichnis. Wenn /SomeDirectory ein geschütztes Verzeichnis ist und ein Angreifer /./SomeDirectory anfordert, kann dieser möglicherweise Zugriff auf die Ressource erlangen, falls /./ nicht in / umgewandelt wird, bevor die Authorisierung geprüft wird.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: URL-Eingaben sollten dekodiert und in die aktuelle interne Repräsentation der Anwendung kanonisiert werden, bevor sie validiert und für die Authorisierung verarbeitet werden. Stellen Sie sicher, dass Ihre Anwendung dieselbe Eingabe nicht doppelt dekodiert. Solche Fehler könnten dazu verwendet werden, Allowlist-Schemata zu umgehen, indem gefährliche Eingaben nach der Prüfung eingeführt werden.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-551: Incorrect Behavior Order: Authorization Before Parsing and Canonicalization werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen