Weaknesses of type CWE-649

6 results

Confiança em ofuscação ou criptografia sem validação de integridade

A fraqueza ocorre quando o código depende de ofuscação ou criptografia para proteger dados sensíveis (senhas, tokens, chaves), mas não valida se esses dados foram alterados durante o armazenamento ou transmissão. Um atacante pode modificar os dados criptografados sem ser detectado, comprometendo a segurança mesmo que a criptografia em si seja forte.

Example

Um aplicativo armazena um token de autenticação criptografado em um cookie, mas não inclui um MAC (Message Authentication Code). Um atacante intercepta o cookie, modifica os bytes criptografados e reenvia; o servidor descriptografa e aceita o token alterado como válido, concedendo acesso não autorizado.

How to mitigate

Use modos de criptografia autenticados (como AES-GCM ou ChaCha20-Poly1305) que garantem integridade, ou implemente um HMAC separado sobre os dados criptografados. Sempre valide a assinatura antes de descriptografar e processar dados sensíveis.

CVE-2019-3730MEDIUMRSA BSAFE Micro Edition Suite versions prior to 4.1.6.3 (in 4.1.x) and prior to 4.4 (in 4.2.x and 4.3.x), are vulnerable to an Information EEPSS 0.6%CVE-2010-3300—It was found that all OWASP ESAPI for Java up to version 2.0 RC2 are vulnerable to padding oracle attacks.EPSS 0.4%CVE-2024-10772HIGHSICK InspectorP61x and SICK InspectorP62x are vulnerable for firmware modificationEPSS 0.3%CVE-2025-41351MEDIUMWeak encryption on Funambol's cloud serverEPSS 0.2%CVE-2024-36279MEDIUMReliance on obfuscation or encryption of security-relevant inputs without integrity checking issue exists in "FreeFrom - the nostr client" AEPSS 0.1%CVE-2025-5323MEDIUMfossasia open-event-server Mail Verification mail.py send_email_change_user_email reliance on obfuscation or encryption of security-relevant inputs without integrity checkingEPSS 0.1%