Falhas do tipo CWE-254

6 resultados

Implementação incorreta de recursos de segurança

Fraqueza genérica que abrange falhas na implementação de mecanismos de segurança — autenticação, criptografia, controle de acesso ou validação — que não funcionam como pretendido. O código tenta proteger contra algo, mas a implementação tem buracos que permitem contorno ou bypass dos controles.

Exemplo

Um aplicativo implementa autenticação de dois fatores, mas o servidor aceita requisições sem validar o segundo fator se um cookie de sessão anterior estiver presente. Atacante reutiliza sessão antiga para pular a verificação extra.

Como mitigar

Revise e teste todos os mecanismos de segurança contra caminhos alternativos e casos extremos. Use bibliotecas criptográficas validadas ao invés de implementações customizadas, e aplique code review rigoroso em lógica de autenticação e autorização antes de deploy.

CVE-2018-0353—A vulnerability in traffic-monitoring functions in Cisco Web Security Appliance (WSA) could allow an unauthenticated, remote attacker to cirEPSS 3.8%CVE-2017-12353—A vulnerability in the Multipurpose Internet Mail Extensions (MIME) scanner of Cisco AsyncOS Software for Cisco Email Security Appliances (EEPSS 1.6%CVE-2018-0110—A vulnerability in Cisco WebEx Meetings Server could allow an authenticated, remote attacker to access the remote support account even afterEPSS 1.4%CVE-2021-43177—As a result of an incomplete fix for CVE-2015-7225, in versions of devise-two-factor prior to 4.0.2 it is possible to reuse a One-Time-PasswEPSS 0.9%CVE-2018-6336HIGHAn issue was discovered in osquery. A maliciously crafted Universal/fat binary can evade third-party code signing checks. By not completing EPSS 0.5%CVE-2021-40006—Vulnerability of design defects in the security algorithm component. Successful exploitation of this vulnerability may affect confidentialitEPSS 0.1%