CWE-200 là lộ lọt thông tin nhạy cảm cho tác nhân không được ủy quyền. Lỗi phát sinh khi sản phẩm để lộ thông tin nhạy cảm cho một tác nhân không được ủy quyền rõ ràng để truy cập thông tin đó. Hiện có 1.421 lỗ hổng trong kho dữ liệu liên quan đến CWE-200 và 2 trong số đó nằm trong danh mục khai thác thực tế của CISA.
Đây là một điểm yếu tổng quát về việc tiết lộ thông tin vượt quá phạm vi ủy quyền, với mức độ nghiêm trọng phụ thuộc vào loại thông tin, bối cảnh vận hành và giá trị của thông tin đối với tác nhân tấn công. Thông tin cần bảo vệ có thể thuộc về người dùng, các cá nhân hoặc tổ chức có dữ liệu được sản phẩm xử lý, quản trị viên hệ thống hoặc mạng, hay nhà phát triển.
Phơi lộ có thể xảy ra ngay trong nội dung được tạo ra có chủ đích, qua thông báo lỗi, nhật ký gỡ lỗi, phản hồi giao thức, kết quả truy vấn hoặc các tài nguyên khác. Nó cũng có thể xuất hiện gián tiếp qua các dấu hiệu như thời gian phản hồi, mã lỗi, thông tin phiên bản, đường dẫn, cấu hình hoặc sự khác biệt giữa các hoạt động nội bộ. Khi một điểm yếu khác trước đó cho phép truy cập vào tài nguyên chứa thông tin nhạy cảm, CWE-200 mô tả kết quả phơi lộ, còn điểm yếu gốc vẫn cần được xác định riêng.
Điểm yếu này có thể phát sinh ở cả giai đoạn kiến trúc và thiết kế lẫn triển khai, và không phụ thuộc vào ngôn ngữ hay công nghệ cụ thể. Thông tin bị lộ có thể là dữ liệu cá nhân, tài chính, y tế, vị trí, bí mật kinh doanh, mã nguồn, trạng thái nội bộ, cấu hình mạng, siêu dữ liệu hoặc thông tin gián tiếp suy ra từ sự khác biệt trong phản hồi, thời gian hoặc hành vi.
Có ba dạng cơ chế chính: mã cố ý đưa dữ liệu nhạy cảm vào tài nguyên hoặc thông báo vốn có thể truy cập công khai; một điểm yếu khác gián tiếp đưa dữ liệu vào phản hồi, chẳng hạn lỗi hiển thị đường dẫn hệ thống; hoặc tài nguyên vốn chứa dữ liệu nhạy cảm bị làm cho có thể truy cập ngoài ý muốn. Dạng cuối là một phơi lộ mang tính hệ quả, trong đó một điểm yếu khác tạo điều kiện cho việc truy cập.
Hậu quả được ghi nhận thuộc phạm vi tính bí mật: tác nhân không được ủy quyền có thể đọc dữ liệu ứng dụng. Tùy loại thông tin, dữ liệu bị lộ có thể gồm dữ liệu cá nhân, thông tin xác thực, chi tiết hệ thống hoặc mạng, bí mật kinh doanh, mã nguồn, trạng thái nội bộ, siêu dữ liệu hoặc thông tin suy ra từ hành vi quan sát được.
| Tác động | Phạm vi | Diễn giải |
|---|---|---|
| Đọc dữ liệu ứng dụng | Tính bí mật | - |
Kiến trúc và thiết kế: phân chia hệ thống thành các vùng sao cho ranh giới tin cậy được xác định rõ ràng và dữ liệu nhạy cảm không thể rời khỏi vùng an toàn nếu không có kiểm soát phù hợp. Tích hợp cơ chế phân tách đặc quyền vào thiết kế, áp dụng nguyên tắc đặc quyền tối thiểu để xác định thời điểm cần dùng đặc quyền, rồi hạ bỏ đặc quyền khi không còn cần thiết. Hướng dẫn này chủ yếu áp dụng ở giai đoạn kiến trúc và thiết kế.
Có thể kết hợp nhiều phương pháp, nhưng mỗi phương pháp chỉ có phạm vi bao phủ nhất định:
Các kỹ thuật này có thể bỏ sót những đường truyền dữ liệu, trạng thái lỗi hoặc khác biệt hành vi chỉ xuất hiện trong điều kiện triển khai cụ thể.
| Phương pháp | Cách làm | Hiệu quả |
|---|---|---|
| Phân tích tĩnh tệp nhị phân hoặc bytecode tự động | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Cost effective for partial coverage: ``` Bytecode Weakness Analysis - including disassembler + source code weakness analysis Inter-application Flow Analysis | SOAR một phần |
| Phân tích động với diễn giải kết quả tự động | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Highly cost effective: ``` Web Application Scanner Web Services Scanner Database Scanners | Cao |
| Phân tích động với diễn giải kết quả thủ công | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Cost effective for partial coverage: ``` Fuzz Tester Framework-based Fuzzer Automated Monitored Execution Monitored Virtual Environment - run potentially malicious code in sandbox / wrapper / virtual machine, see if it does anything suspicious | SOAR một phần |
| Phân tích tĩnh mã nguồn thủ công | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Highly cost effective: ``` Manual Source Code Review (not inspections) | Cao |
| Phân tích tĩnh mã nguồn tự động | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Highly cost effective: ``` Context-configured Source Code Weakness Analyzer ``` Cost effective for partial coverage: ``` Source code Weakness Analyzer | Cao |
| Rà soát kiến trúc hoặc thiết kế | According to SOAR [REF-1479], the following detection techniques may be useful: ``` Highly cost effective: ``` Formal Methods / Correct-By-Construction ``` Cost effective for partial coverage: ``` Attack Modeling Inspection (IEEE 1028 standard) (can apply to requirements, design, source code, etc.) | Cao |
Các ví dụ sau là một số ví dụ đại diện, không phải danh sách đầy đủ:
CVE-2022-31162: thư viện Rust để lộ thông tin chi tiết của máy khách OAuth trong nhật ký gỡ lỗi.CVE-2021-25476: khả năng DRM trên nền tảng di động để lộ thông tin con trỏ, giúp đơn giản hóa việc vượt ASLR.CVE-2001-1483, CVE-2001-1528, CVE-2004-2150 và CVE-2003-0190: cho phép suy đoán tên người dùng hoặc số tài khoản hợp lệ qua phản hồi không nhất quán, thông báo lỗi hoặc thời gian phản hồi.CVE-2005-1205: máy chủ Telnet có thể thu thập thông tin môi trường nhạy cảm từ máy khách.CVE-2002-1725, CVE-2007-1409, CVE-2005-0603 và CVE-2007-5172: để lộ cấu hình hệ thống, đường dẫn, thông tin do cú pháp biểu thức chính quy hoặc mật khẩu qua thông báo lỗi.CVE-2004-2268 và CVE-2003-1078: để lộ mật khẩu trong thông tin gỡ lỗi hoặc khi tùy chọn gỡ lỗi của máy khách FTP được bật.CVE-2002-0515, CVE-2004-0778 và CVE-2000-1117: cho phép suy ra trạng thái cổng, sự tồn tại của tệp hoặc thư mục qua khác biệt về TTL, thông báo lỗi hoặc thời gian thực thi.CVE-2008-2049 và CVE-2008-4638: để lộ mật khẩu hoặc nội dung tệp qua lỗi, trong đó việc phơi lộ có thể là hệ quả của một điểm yếu khác.CVE-2022-0708: nền tảng cộng tác không xóa địa chỉ email nhóm khỏi phản hồi, dẫn đến lộ địa chỉ email.Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-200, dựa theo mức độ ưu tiên
CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Đánh giá mức độ an toàn và các đề xuất tới từ CyStack cho các trang Web
Tìm hiểu các nghiên cứu của đội ngũ chuyên gia chúng tôi trong an ninh mạng
Tìm hiểu về giải pháp tình báo mối đe doạ và phát hiện lộ lọt dữ liệu tới từ CyStack
vi
