CWE-Referenz › CWE-942: Permissive Cross-domain Policy with Untrusted Domains
CWE-942: Permissive Cross-domain Policy with Untrusted Domains
CWE ID: 942
Name: Permissive Cross-domain Policy with Untrusted Domains
Beschreibung
Das Produkt verwendet eine Cross-Domain Policy File, die Domains enthält, denen kein Vertrauen geschenkt werden sollte.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Vermeiden Sie die Verwendung von Wildcards in der Cross-Domain Policy File. Jede Domain, die mit dem Wildcard-Ausdruck übereinstimmt, wird implizit als vertrauenswürdig eingestuft und kann eine bidirektionale Interaktion mit dem Zielserver durchführen.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Für Flash sollten Sie die Cross-Domain Policy File anpassen, um Meta-Policy-Optionen wie ‘master-only’ oder ’none’ zu verwenden, um die Möglichkeit zu reduzieren, dass ein Angreifer zusätzliche Cross-Domain Policy Files auf einem Server platziert.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Um die Wahrscheinlichkeit zu verringern, dass ein Angreifer unerwünschte Cross-Domain Policy Files auf einem Server platziert, sollten Sie für Flash die Cross-Domain Policy File so anpassen, dass Meta-Policy-Optionen wie ‘master-only’ oder ’none’ verwendet werden. Dies trägt zur Verbesserung der Security-Posture bei.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-942: Permissive Cross-domain Policy with Untrusted Domains werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen