CWE ID: 829
Name: Inclusion of Functionality from Untrusted Control Sphere
Das Produkt importiert, benötigt oder beinhaltet ausführbare Funktionalität (wie beispielsweise eine Library) aus einer Quelle, die außerhalb des vorgesehenen Kontrollbereichs liegt.
Effektivität: Unknown
Beschreibung: Nutzen Sie eine geprüfte Library oder ein Framework, das dieses Risiko vermeidet oder Konstrukte bereitstellt, die die Vermeidung dieser Schwachstelle erleichtern.
Effektivität: Unknown
Beschreibung: Für alle Sicherheitsprüfungen, die clientseitig durchgeführt werden, stellen Sie sicher, dass diese Prüfungen serverseitig dupliziert werden, um CWE-602 zu vermeiden. Angreifer können clientseitige Prüfungen umgehen, indem sie Werte nach Durchführung der Prüfungen modifizieren oder den Client verändern, um die clientseitigen Prüfungen vollständig zu entfernen. Anschließend würden diese modifizierten Werte an den Server übermittelt.
Effektivität: Unknown
Beschreibung: Führen Sie Ihren Code mit den minimal erforderlichen Berechtigungen aus [REF-76]. Erstellen Sie nach Möglichkeit isolierte Accounts mit eingeschränkten Berechtigungen, die ausschließlich für eine einzelne Aufgabe verwendet werden. So kann ein erfolgreicher Angriff dem Angreifer nicht sofort Zugriff auf den Rest der Software oder deren Umgebung gewähren. Beispielsweise benötigen Datenbankanwendungen selten die Berechtigungen des Datenbankadministrators, insbesondere im Rahmen des täglichen Betriebs.
Effektivität: Moderate
Beschreibung: Setzen Sie eine Application Firewall ein, die Angriffe gegen diese Schwachstelle erkennen kann. Dies kann vorteilhaft sein, wenn der Code nicht behoben werden kann (weil er von einem Drittanbieter kontrolliert wird), als Notfallmaßnahme während umfassenderer Software Assurance Maßnahmen angewendet werden oder um eine zusätzliche Sicherheitsebene (Defense in Depth) zu bieten.
Notizen: Eine Application Firewall deckt möglicherweise nicht alle möglichen Input-Vektoren ab. Darüber hinaus könnten Angriffs-Techniken existieren, um den Schutzmechanismus zu umgehen, beispielsweise durch die Verwendung von fehlerhaften (malformed) Eingaben, die dennoch von der empfangenden Komponente verarbeitet werden können. Je nach Funktionalität kann eine Application Firewall unbeabsichtigt legitime Requests ablehnen oder modifizieren. Schließlich kann ein gewisser manueller Aufwand für die Customization erforderlich sein.
