STP080: Common Weakness Enumeration (Teil 2)

<p>Im zweiten Teil zu üblichen Schwachstellen hören wir neben einigen Querverweisen auch Xyrills Meinung zu seiner favorisierten Verwundbarkeit.</p><h2>Shownotes</h2><ul>
<li>
<p>Platz 9: <a href="cwe.mitre.org/data/definitions/862.html"&…;; fehlende Autorisierung</p>
<ul>
<li>siehe Besprechung von Authentifizierung und Autorisierung in STP039</li>
<li>Lösung: Just do it! :)</li>
<li>passend dazu Platz 14 und 18: <a href="cwe.mitre.org/data/definitions/287.html"&…; und <a href="cwe.mitre.org/data/definitions/863.html"&…;; fehlerhafte Authentifizierung bzw. Autorisierung</li>
<li>außerdem Platz 15: <a href="cwe.mitre.org/data/definitions/269.html"&…;; unzureichende Privilegienkontrolle</li>
<li>als Sonderfall Platz 25: <a href="cwe.mitre.org/data/definitions/306.html"&…;; fehlende Authentifizierung an kritischer Stelle</li>
<li>daraus folgend Platz 17: <a href="cwe.mitre.org/data/definitions/200.html"&…;; Preisgabe sensitiver Informationen an nicht Zugriffsberechtigte</li>
</ul>
</li>
<li>
<p>Platz 10: <a href="cwe.mitre.org/data/definitions/434.html"&…;; Unbeschränktes Hochladen von Dateien des falschen Typs</p>
<ul>
<li>und dadurch z.B. Einschleusung von Schadcode (Xyrill fühlt sich an den "OpenOffice kann dienstags nicht drucken"-Bug erinnert)</li>
<li>Lösung: nur bekannte Formate akzeptieren</li>
<li>passend dazu Platz 16: <a href="cwe.mitre.org/data/definitions/502.html"&…;; Deserialisieren unvertrauenswürdiger Daten</li>
<li>Lösung: unbekannte Daten mit <a href="github.com/google/wuffs">sicheren Parsern</a> validieren</li>
</ul>
</li>
<li>
<p>Platz 21: <a href="cwe.mitre.org/data/definitions/476.html"&…;; Zugriff auf Nullzeiger</p>
<ul>
<li>besprochen in STP045</li>
</ul>
</li>
<li>
<p>Platz 22: <a href="cwe.mitre.org/data/definitions/798.html"&…;; Zugriff mit hartkodierten Anmeldedaten</p>
<ul>
<li>In wieviele Plasterouter kommt man wohl immer noch mit Username <code>admin</code> und Passwort <code>letmein</code> rein? :)</li>
<li>tatsächlich auch bei Enterprise-Hardware oftmals Standardpasswörter voreingestellt, die dann beim Einrichten (versehentlich?) nicht geändert werden</li>
</ul>
</li>
<li>
<p>Platz 23: <a href="cwe.mitre.org/data/definitions/190.html"&…;; Ganzzahlüberlauf ("Integer Overflow or Wraparound")</p>
<ul>
<li>besprochen in STP003 (Überlauf in Logikgattern) und STP037 (berühmte Überlauffehler)</li>
</ul>
</li>
<li>
<p>Platz 24: <a href="cwe.mitre.org/data/definitions/400.html"&…;; unkontrollierter Ressourcenverbrauch</p>
<ul>
<li>Rückbezug zu STP079 (Komplexitätsattacke in Hashmaps)</li>
</ul>
</li>
<li>
<p>außerdem noch Xyrills Favorit: <a href="cwe.mitre.org/data/definitions/655.html"&…;; unzureichende psychologische Akzeptabilität :)</p>
</li>
</ul>