CWE-Referenz › CWE-651: Exposure of WSDL File Containing Sensitive Information
CWE-651: Exposure of WSDL File Containing Sensitive Information
CWE ID: 651
Name: Exposure of WSDL File Containing Sensitive Information
Beschreibung
Die Web Services Architektur kann die Bereitstellung einer Web Service Definition Language (WSDL) Datei erfordern, welche Informationen über die öffentlich zugänglichen Services und die Interaktion der Aufrufer mit diesen Services enthält (z.B. welche Parameter erwartet werden und welche Datentypen zurückgegeben werden).
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Beschränken Sie den Zugriff auf die WSDL-Datei so weit wie möglich. Wenn Services nur für eine begrenzte Anzahl von Entitäten bereitgestellt werden, kann es sinnvoller sein, die WSDL privat an jede dieser Entitäten zu verteilen, anstatt sie öffentlich zu publizieren.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Stellen Sie sicher, dass die WSDL keine Methoden beschreibt, die nicht öffentlich zugänglich sein sollten. Schützen Sie Service-Methoden, die nicht öffentlich zugänglich sein sollten, mit Access Controls.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Vermeiden Sie in der WSDL die Verwendung von Methodennamen, die einem Angreifer möglicherweise Hinweise auf die Namen privater Methoden/Ressourcen geben könnten, die vom Service verwendet werden.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-651: Exposure of WSDL File Containing Sensitive Information werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen