Weaknesses of type CWE-1282

8 results

Dados assumidos como imutáveis armazenados em memória gravável

O código assume que certos dados (como constantes, configurações críticas ou valores de segurança) não serão modificados, mas os armazena em memória que pode ser alterada em tempo de execução. Um atacante pode sobrescrever esses dados em memória, mudando o comportamento do programa sem alterar o código fonte.

Example

Um programa carrega uma chave de criptografia ou um identificador de permissão em uma variável global durante a inicialização, acreditando que não será alterada. Um atacante explorador de memória consegue sobrescrever essa variável e contornar verificações de segurança ou acessar recursos protegidos.

How to mitigate

Utilize marcadores de memória protegida (como `const` em linguagens de tipagem forte), armazene dados sensíveis em segmentos de memória somente leitura quando possível, valide novamente dados críticos antes de cada uso, e implemente proteções contra escrita em memória (ex: SELinux, W^X). Para dados realmente imutáveis, considere criptografia ou assinatura digital.

CVE-2019-25358HIGHFileOptimizer 14.00.2524 - Denial of ServiceEPSS 0.4%CVE-2022-2483HIGH The bootloader in the Nokia ASIK AirScale system module (versions 474021A.101 and 474021A.102) loads public keys for firmware verification EPSS 0.2%CVE-2018-25229MEDIUMBulletProof FTP Server 2019.0.0.50 Denial of Service via SMTPEPSS 0.2%CVE-2019-25587MEDIUMBulletProof FTP Server 2019.0.0.50 Storage-Path Denial of ServiceEPSS 0.2%CVE-2019-25583MEDIUMRarmaRadio 2.72.3 Username Field Denial of ServiceEPSS 0.2%CVE-2019-25588MEDIUMBulletProof FTP Server 2019.0.0.50 Denial of Service via DNS AddressEPSS 0.2%CVE-2019-25551MEDIUMSandboxie 5.30 Denial of Service via Program Alerts Buffer OverflowEPSS 0.2%CVE-2019-25590MEDIUMAxessh 4.2 Denial of Service via Log File NameEPSS 0.2%