CWE-Referenz › CWE-652: Improper Neutralization of Data within XQuery Expressions ('XQuery Injection')
CWE-652: Improper Neutralization of Data within XQuery Expressions ('XQuery Injection')
CWE ID: 652
Name: Improper Neutralization of Data within XQuery Expressions (‘XQuery Injection’)
Beschreibung
Das Produkt verwendet externe Eingaben, um dynamisch einen XQuery-Ausdruck zur Datenabfrage aus einer XML-Datenbank zu erstellen, neutralisiert diese Eingaben jedoch nicht oder neutralisiert sie fehlerhaft. Dies ermöglicht es einem Angreifer, die Struktur der Query zu kontrollieren.
Erweiterte Beschreibung
Die Nettoauswirkung ist, dass der Angreifer die Kontrolle über die aus der XML-Datenbank ausgewählten Informationen erlangt und diese Fähigkeit nutzen kann, um den Anwendungsablauf zu steuern, die Logik zu modifizieren, unautorisierte Daten abzurufen oder wichtige Sicherheitsprüfungen (z.B. Authentication) zu umgehen.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Verwenden Sie parametrisierte Queries. Dies hilft, eine Trennung zwischen Data Plane und Control Plane sicherzustellen.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Validieren Sie Benutzereingaben korrekt. Verwerfen Sie Daten, wo angebracht, filtern Sie, wo angebracht, und escapen Sie, wo angebracht. Stellen Sie sicher, dass Eingaben, die in XQL Queries verwendet werden, in diesem Kontext sicher sind.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-652: Improper Neutralization of Data within XQuery Expressions ('XQuery Injection') werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen