Exposure of Sensitive System Information to an Unauthorized Control Sphere

Los actores no autorizados que no tienen el mismo nivel de acceso al sistema subyacente que el producto accedan a información confidencial a nivel del sistema.

Cuando el producto se comunica con terceros, se espera que los detalles sobre el sistema subyacente permanezcan ocultos, como los nombres de ruta de los archivos de datos, otros usuarios del sistema operativo, los paquetes instalados, el entorno de la aplicación. Esta información del sistema puede ser proporcionada por el propio producto, o enterrado dentro de mensajes de diagnóstico o depuración. La información de depuración ayuda al adversario a conocer el sistema y elaborar un plan de ataque.

Utilizando otras debilidades, un atacante podría provocar errores; la respuesta a estos errores puede revelar información detallada del sistema, junto con otros impactos. Un atacante puede utilizar mensajes que revelen tecnologías, sistemas operativos y versiones de productos para ajustar el ataque a vulnerabilidades conocidas en estas tecnologías. Un producto puede utilizar métodos de diagnóstico que proporcionen detalles de implementación importantes, como seguimientos de pila, como parte de su mecanismo de manejo de errores.

La información sensible del sistema puede abarcar una amplia gama de datos, incluyendo:

• Versiones de software y bibliotecas: Exponer las versiones puede ayudar a los atacantes a identificar vulnerabilidades conocidas en el sistema.

• Mensajes de error y diagnóstico: Estos mensajes pueden revelar detalles sobre la arquitectura del sistema, configuraciones e incluso errores internos que los atacantes podrían explotar.

• Datos de configuración: Configuración del servidor, rutas de archivos, claves API o contraseñas almacenadas temporalmente pueden ser filtradas accidentalmente a través de diferentes mecanismos.

• Información de identificación del sistema: Nombres de host, direcciones IP, identificadores únicos del sistema pueden ser utilizados para rastrear o lanzar ataques dirigidos.

• Huellas digitales del sistema: Patrones específicos en el comportamiento o las respuestas del sistema pueden ayudar a los atacantes a determinar el tipo de software o infraestructura utilizados.

Recursos

CWE - CWE-497: Exposure of Sensitive System Information to an Unauthorized Control Sphere (4.19)cwe.mitre.org

Exposure of Sensitive System Information to an Unauthorized Control Sphere | Martello Securitymartellosecurity.com