CWE ID: 67
Name: Improper Handling of Windows Device Names
Das Produkt konstruiert Pfadnamen aus Benutzereingaben, behandelt aber einen Pfadnamen, der einen Windows-Gerätenamen wie AUX oder CON enthält, nicht oder fehlerhaft. Dies führt typischerweise zu einem Denial of Service oder einer Information Exposure, wenn die Anwendung versucht, den Pfadnamen als reguläre Datei zu verarbeiten.
Eine unzureichende Behandlung virtueller Dateinamen (z.B. AUX, CON, PRN, COM1, LPT1) kann zu verschiedenen Arten von Schwachstellen führen. In einigen Fällen kann ein Angreifer ein Gerät durch die Injection eines virtuellen Dateinamens in eine URL anfordern, was zu einem Fehler führen kann, der einen Denial of Service verursacht oder eine Error Page offenlegt, die sensible Informationen preisgibt. Ein Produkt, das es Gerätenamen erlaubt, Filtermechanismen zu umgehen, läuft Gefahr, dass ein Angreifer schädlichen Code in eine Datei mit dem Namen eines Geräts injiziert.
Effektivität: Unknown
Beschreibung: Machen Sie sich mit den Gerätenamen des Betriebssystems vertraut, in dem Ihr System eingesetzt wird. Überprüfen Sie die Eingaben auf diese Gerätenamen.
