Falhas do tipo CWE-447

3 resultados

Funcionalidade não implementada ou não suportada na interface

Ocorre quando a interface do usuário promete ou sugere uma funcionalidade que não foi realmente implementada no backend, ou quando suporta apenas parcialmente. O risco está na expectativa não atendida que pode levar o usuário a contornar controles de segurança, usar a aplicação de forma não prevista ou acreditar que uma ação sensível foi executada quando, na verdade, falhou silenciosamente.

Exemplo

Um formulário de login exibe opção de autenticação por biometria, mas a funcionalidade nunca foi codificada. Usuários clicam, recebem confirmação falsa e acreditam estar autenticados por um meio mais seguro do que efetivamente estão. Ou um painel de admin mostra botão de 'Revogar acesso', mas a ação não é processada no servidor.

Como mitigar

Implemente apenas funcionalidades completamente testadas antes de expô-las na UI. Use flags de feature ou condicionalidades para ocultar controles não prontos. Sincronize sempre a interface com o que o backend suporta e valide no servidor se a ação foi realmente processada, nunca confie apenas na resposta da UI.

CVE-2024-21607MEDIUMJunos OS: MX Series and EX9200 Series: If the "tcp-reset" option used in an IPv6 filter, matched packets are accepted instead of rejectedEPSS 0.3%CVE-2024-39533MEDIUMJunos OS: QFX5000 Series and EX4600 Series: Output firewall filter is not applied if certain match criteria are usedEPSS 0.3%CVE-2024-0148HIGHNVIDIA Jetson Linux and IGX OS image contains a vulnerability in the UEFI firmware RCM boot mode, where an unprivileged attacker with physicEPSS 0.3%