CWE-Referenz › CWE-669: Incorrect Resource Transfer Between Spheres
CWE-669: Incorrect Resource Transfer Between Spheres
CWE ID: 669
Name: Incorrect Resource Transfer Between Spheres
Beschreibung
Das Produkt überträgt eine Ressource/ein Verhalten nicht ordnungsgemäß in einen anderen Kontrollbereich oder importiert eine Ressource/ein Verhalten unzulässig aus einem anderen Bereich, wodurch unbeabsichtigte Kontrolle über diese Ressource ermöglicht wird.
Detaillierter Hintergrund
Ein “control sphere” (Kontrollbereich) bezeichnet eine Menge von Ressourcen und Verhaltensweisen, die einem einzelnen Akteur oder einer Gruppe von Akteuren zugänglich sind. Das Sicherheitsmodell eines Produkts definiert typischerweise mehrere Kontrollbereiche, möglicherweise implizit. Beispielsweise könnte ein Server einen Kontrollbereich für “Administratoren” definieren, die neue Benutzerkonten mit Unterverzeichnissen unter /home/server/ erstellen können, und ein zweiter Kontrollbereich könnte die Menge der Benutzer abdecken, die Dateien innerhalb ihrer eigenen Unterverzeichnisse erstellen oder löschen können. Ein dritter Kontrollbereich könnte “Benutzer sein, die gegenüber dem Betriebssystem authentifiziert sind, auf dem das Produkt installiert ist.” Jeder Kontrollbereich hat unterschiedliche Mengen an Akteuren und zulässigen Behaviors.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-669: Incorrect Resource Transfer Between Spheres werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen