Fallos del tipo CWE-656

11 resultados

Confiança em Segurança por Obscuridade

A aplicação assume que está segura apenas porque seu código, algoritmo ou estrutura interna não é conhecida publicamente. Isso é uma falácia: um atacante determinado consegue descobrir (engenharia reversa, análise de tráfego, vazamento de código) o que foi escondido. Segurança real vem de criptografia forte e lógica robusta, não de sigilo.

Ejemplo

Uma API usa um 'token' de autenticação que é apenas um ID sequencial obscuro (ex: user_id + timestamp criptografado com 'chave mágica' local). Quando a chave vaza ou é descoberta, o atacante consegue forjar tokens válidos para qualquer usuário. Se usasse JWT com assinatura criptográfica real e rotação de chaves, seria resistente.

Cómo mitigar

Use criptografia e protocolos padrão e auditados (TLS, OAuth, JWT com HMAC/RSA). Nunca assuma que código privado é seguro — implemente controle de acesso baseado em permissões reais, validação de entrada rigorosa e autenticação forte. Revise regularmente a segurança com ferramentas e testes de penetração, não com sigilo.

CVE-2020-10284CRITICALRVD#3321: No Authentication required to exert manual control of the robotEPSS 1.4%CVE-2024-9138HIGHPrivilege Escalation in Cellular Router, Secure Router, and Network Security AppliancesEPSS 1.1%CVE-2024-12297CRITICALFrontend Authorization Logic Disclosure VulnerabilityEPSS 0.8%CVE-2020-10286CRITICALRVD#3323: Mismanaged permission implementation leads to privilege escalation, exfiltration of sensitive information, and DoSEPSS 0.7%CVE-2020-10277MEDIUMRVD#2562: Booting from a live image leads to exfiltration of sensible information and privilege escalationEPSS 0.4%CVE-2024-5244MEDIUMTP-Link Omada ER605 Reliance on Security Through Obscurity VulnerabilityEPSS 0.3%CVE-2025-25983LOWAn issue in Macro-video Technologies Co.,Ltd V380 Pro android application 2.1.44 and V380 Pro android application 2.1.64 allows an attacker EPSS 0.3%CVE-2026-7161CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-59093HIGHInsecure Password Derivation Function for Database Administrator in dormakaba Kaba exos 9300EPSS 0.2%CVE-2026-42363CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-7020MEDIUMBYD DiLink OS Incorrect encryption Implementation of system log dumpsEPSS 0.1%