CWE-Referenz › CWE-838: Inappropriate Encoding for Output Context
CWE-838: Inappropriate Encoding for Output Context
CWE ID: 838
Name: Inappropriate Encoding for Output Context
Beschreibung
Das Produkt verwendet oder legt eine Kodierung fest, wenn Ausgaben für eine nachgelagerte Komponente generiert werden, jedoch entspricht die festgelegte Kodierung nicht der von der nachgelagerten Komponente erwarteten Kodierung.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Verwenden Sie kontextabhängige Kodierung. Das bedeutet, verstehen Sie, welche Kodierung von der nachgelagerten Komponente verwendet wird, und stellen Sie sicher, dass diese Kodierung ebenfalls verwendet wird. Wenn eine Kodierung spezifiziert werden kann, tun Sie dies, anstatt anzunehmen, dass die Standardkodierung mit der Standardkodierung übereinstimmt, die von der nachgelagerten Komponente angenommen wird.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Soweit möglich, verwenden Sie Kommunikationsprotokolle oder Datenformate, die klare Grenzen zwischen Steuerung und Daten definieren. Sollte dies nicht realisierbar sein, stellen Sie sicher, dass die Protokolle oder Formate es den kommunizierenden Komponenten ermöglichen, explizit anzugeben, welche Encoding/Decoding-Methode verwendet wird. Einige Template Frameworks bieten hierfür integrierte Unterstützung.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-838: Inappropriate Encoding for Output Context werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen