• CWE-67: Improper Handling of Windows Device Names

Das Produkt konstruiert Pfadnamen aus Benutzereingaben, behandelt aber einen Pfadnamen, der einen Windows-Gerätenamen wie AUX oder CON enthält, nicht oder fehlerhaft. Dies führt typischerweise zu einem Denial of Service oder einer Information Exposure, wenn die Anwendung versucht, den Pfadnamen als reguläre Datei zu verarbeiten.

CWE-Referenz › CWE-67: Improper Handling of Windows Device Names

CWE-67: Improper Handling of Windows Device Names

CWE ID: 67
Name: Improper Handling of Windows Device Names

Beschreibung

Das Produkt konstruiert Pfadnamen aus Benutzereingaben, behandelt aber einen Pfadnamen, der einen Windows-Gerätenamen wie AUX oder CON enthält, nicht oder fehlerhaft. Dies führt typischerweise zu einem Denial of Service oder einer Information Exposure, wenn die Anwendung versucht, den Pfadnamen als reguläre Datei zu verarbeiten.

Erweiterte Beschreibung

Eine unzureichende Behandlung virtueller Dateinamen (z.B. AUX, CON, PRN, COM1, LPT1) kann zu verschiedenen Arten von Schwachstellen führen. In einigen Fällen kann ein Angreifer ein Gerät durch die Injection eines virtuellen Dateinamens in eine URL anfordern, was zu einem Fehler führen kann, der einen Denial of Service verursacht oder eine Error Page offenlegt, die sensible Informationen preisgibt. Ein Produkt, das es Gerätenamen erlaubt, Filtermechanismen zu umgehen, läuft Gefahr, dass ein Angreifer schädlichen Code in eine Datei mit dem Namen eines Geräts injiziert.

Risikominderungsmaßnahmen

Maßnahme (Implementation)

Effektivität: Unknown
Beschreibung: Machen Sie sich mit den Gerätenamen des Betriebssystems vertraut, in dem Ihr System eingesetzt wird. Überprüfen Sie die Eingaben auf diese Gerätenamen.

Detaillierter Hintergrund

  • Historisch gesehen gab es in Windows einen Fehler, der zu einem Blue Screen of Death führte. Selbst nachdem dieses Problem behoben wurde, bleiben DOS device names ein relevanter Faktor.

Verwandte Schwachstellen

Ist Ihre IT-Infrastruktur betroffen?

Schwachstellen wie CWE-67: Improper Handling of Windows Device Names werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:

  • Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
  • Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
  • Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen
Kostenloses Erstgespräch Für mittelständische Unternehmen