CWE ID: 669
Name: Incorrect Resource Transfer Between Spheres
Das Produkt überträgt eine Ressource/ein Verhalten nicht ordnungsgemäß in einen anderen Kontrollbereich oder importiert eine Ressource/ein Verhalten unzulässig aus einem anderen Bereich, wodurch unbeabsichtigte Kontrolle über diese Ressource ermöglicht wird.
Ein “control sphere” (Kontrollbereich) bezeichnet eine Menge von Ressourcen und Verhaltensweisen, die einem einzelnen Akteur oder einer Gruppe von Akteuren zugänglich sind. Das Sicherheitsmodell eines Produkts definiert typischerweise mehrere Kontrollbereiche, möglicherweise implizit. Beispielsweise könnte ein Server einen Kontrollbereich für “Administratoren” definieren, die neue Benutzerkonten mit Unterverzeichnissen unter /home/server/ erstellen können, und ein zweiter Kontrollbereich könnte die Menge der Benutzer abdecken, die Dateien innerhalb ihrer eigenen Unterverzeichnisse erstellen oder löschen können. Ein dritter Kontrollbereich könnte “Benutzer sein, die gegenüber dem Betriebssystem authentifiziert sind, auf dem das Produkt installiert ist.” Jeder Kontrollbereich hat unterschiedliche Mengen an Akteuren und zulässigen Behaviors.
