Im zweiten Teil zu üblichen Schwachstellen hören wir neben einigen Querverweisen auch Xyrills Meinung zu seiner favorisierten Verwundbarkeit.

• Platz 9: CWE-862; fehlende Autorisierung

  • siehe Besprechung von Authentifizierung und Autorisierung in STP039
  • Lösung: Just do it! :)
  • passend dazu Platz 14 und 18: CWE-287 und CWE-863; fehlerhafte Authentifizierung bzw. Autorisierung
  • außerdem Platz 15: CWE-269; unzureichende Privilegienkontrolle
  • als Sonderfall Platz 25: CWE-306; fehlende Authentifizierung an kritischer Stelle
  • daraus folgend Platz 17: CWE-200; Preisgabe sensitiver Informationen an nicht Zugriffsberechtigte

• Platz 10: CWE-434; Unbeschränktes Hochladen von Dateien des falschen Typs

  • und dadurch z.B. Einschleusung von Schadcode (Xyrill fühlt sich an den "OpenOffice kann dienstags nicht drucken"-Bug erinnert)
  • Lösung: nur bekannte Formate akzeptieren
  • passend dazu Platz 16: CWE-502; Deserialisieren unvertrauenswürdiger Daten
  • Lösung: unbekannte Daten mit sicheren Parsern validieren

• Platz 21: CWE-476; Zugriff auf Nullzeiger

  • besprochen in STP045

• Platz 22: CWE-798; Zugriff mit hartkodierten Anmeldedaten

  • In wieviele Plasterouter kommt man wohl immer noch mit Username admin und Passwort letmein rein? :)
  • tatsächlich auch bei Enterprise-Hardware oftmals Standardpasswörter voreingestellt, die dann beim Einrichten (versehentlich?) nicht geändert werden

• Platz 23: CWE-190; Ganzzahlüberlauf ("Integer Overflow or Wraparound")

  • besprochen in STP003 (Überlauf in Logikgattern) und STP037 (berühmte Überlauffehler)

• Platz 24: CWE-400; unkontrollierter Ressourcenverbrauch

  • Rückbezug zu STP079 (Komplexitätsattacke in Hashmaps)

• außerdem noch Xyrills Favorit: CWE-655; unzureichende psychologische Akzeptabilität :)