CWE-Referenz › CWE-641: Improper Restriction of Names for Files and Other Resources
CWE-641: Improper Restriction of Names for Files and Other Resources
CWE ID: 641
Name: Improper Restriction of Names for Files and Other Resources
Beschreibung
Das Produkt konstruiert den Namen einer Datei oder einer anderen Ressource unter Verwendung von Eingaben von einer vorgelagerten Komponente, jedoch ohne Einschränkungen oder mit fehlerhaften Einschränkungen des resultierenden Namens.
Erweiterte Beschreibung
Dies kann zu resultierenden Schwachstellen führen. Beispielsweise können Namen dieser Ressourcen scripting characters enthalten, was dazu führen könnte, dass ein script im Browser des Clients ausgeführt wird, falls die Anwendung den Namen der Ressource auf einer dynamisch generierten Webseite anzeigt. Alternativ kann ein speziell präparierter Name, wenn die Ressourcen von einem application parser verarbeitet werden, eine interne Schwachstelle des Parsers ausnutzen und potenziell die Ausführung von beliebigem Code auf der Servermaschine bewirken. Die Probleme variieren je nach Kontext der Nutzung solcher fehlerhafter Ressourcennamen und ob Schwachstellen in der Zieltechnologie vorhanden sind oder Annahmen getroffen werden, die die Codeausführung ermöglichen.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Erlaube Benutzern nicht, die Namen von serverseitig verwendeten Ressourcen zu kontrollieren.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Führe eine allowlist-Validierung der Eingaben an Eintrittspunkten und vor dem Konsum von Ressourcen durch. Verwerfe ungültige Dateinamen anstatt zu versuchen, diese zu bereinigen.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Stellen Sie sicher, dass Technologien, die Ressourcen verarbeiten, nicht anfällig für Schwachstellen sind (z.B. buffer overflow, format string), sodass keine Codeausführung durch einen fehlerhaften Ressourcennamen ermöglicht wird.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-641: Improper Restriction of Names for Files and Other Resources werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen