Định nghĩa chính thức

Chi tiết kỹ thuật

Khi các đầu vào tương tự được xử lý theo những cách tạo ra phản hồi khác nhau, tác nhân bên ngoài có thể dùng sự khác biệt đó để suy luận thông tin mà họ không được phép biết. Ví dụ, các thông báo đăng nhập thất bại khác nhau có thể cho biết tên người dùng có hợp lệ hay không. Sự rò rỉ này giúp kẻ tấn công tinh chỉnh các cuộc tấn công tiếp theo, dù nguyên nhân có thể là lỗi không chủ ý hoặc một quyết định thiết kế không phù hợp.

Đặc điểm

Điểm yếu này xuất hiện khi các yêu cầu tương tự tạo ra phản hồi khác nhau có thể quan sát được, chẳng hạn thông báo lỗi, nội dung phản hồi hoặc đặc tính của gói tin. Sự khác biệt có thể vô tình do lỗi triển khai hoặc có chủ ý do thiết kế, và thường được khai thác để suy ra trạng thái nội bộ như tên người dùng, tài khoản, tệp, thư mục hoặc cổng mạng có tồn tại hay không. Điểm yếu thường phát sinh trong kiến trúc, thiết kế hoặc triển khai cơ chế xác thực và xử lý lỗi; hồ sơ áp dụng cho mọi ngôn ngữ lập trình.

Hậu quả thường gặp

Các tác động tiềm ẩn chính thuộc tính bảo mật và kiểm soát truy cập. Kẻ tấn công có thể đọc hoặc suy luận dữ liệu ứng dụng, chẳng hạn tên người dùng hợp lệ hay sự tồn tại của tài nguyên, rồi dùng thông tin đó để cải thiện việc liệt kê, đoán mật khẩu hoặc các cuộc tấn công khác, qua đó có thể vượt qua cơ chế bảo vệ.

Dữ liệu MITRE CWE chính thức

Tác động	Phạm vi	Diễn giải
Đọc dữ liệu ứng dụng, Vượt qua cơ chế bảo vệ	Tính bí mật, Kiểm soát truy cập	-

Biện pháp giảm thiểu rủi ro

Kiến trúc và thiết kế: Phân vùng hệ thống để các ranh giới tin cậy được xác định rõ ràng, dữ liệu nhạy cảm không rời khỏi ranh giới thích hợp, đồng thời củng cố việc tách biệt đặc quyền theo nguyên tắc đặc quyền tối thiểu. Triển khai: Giới hạn thông báo lỗi ở mức chi tiết tối thiểu cần thiết cho đối tượng dự kiến, không tiết lộ cách xác định lỗi, và tránh các thông báo không nhất quán làm lộ trạng thái nội bộ, chẳng hạn tài khoản có tồn tại hay không. Nếu bắt buộc phải ghi lại lỗi chi tiết, hãy đưa thông tin đó vào nhật ký nhưng vẫn đánh giá khả năng kẻ tấn công truy cập nhật ký; tuyệt đối không ghi thông tin có độ nhạy cao như mật khẩu.

Dữ liệu MITRE CWE chính thức

Phân tách đặc quyền · Kiến trúc và thiết kếCompartmentalize the system to have "safe" areas where trust boundaries can be unambiguously drawn. Do not allow sensitive data to go outside of the trust boundary and always be careful when interfacing with a compartment outside of the safe area. Ensure that appropriate compartmentalization is built into the system design, and the compartmentalization allows for and reinforces privilege separation functionality. Architects and designers should rely on the principle of least privilege to decide the appropriate time to use privileges and the time to drop privileges.
Hiện thực hóaEnsure that error messages only contain minimal details that are useful to the intended audience and no one else. The messages need to strike the balance between being too cryptic (which can confuse users) or being too detailed (which may reveal more than intended). The messages should not reveal the methods that were used to determine the error. Attackers can use detailed information to refine or optimize their original attack, thereby increasing their chances of success. If errors must be captured in some detail, record them in log messages, but consider what could occur if the log messages can be viewed by attackers. Highly sensitive information such as passwords should never be saved to log files. Avoid inconsistent messaging that might accidentally tip off an attacker about internal state, such as whether a user account exists or not.

Cách phát hiện trong hệ thống

Hồ sơ chính thức không nêu phương pháp phát hiện cụ thể cho điểm yếu này.

Lỗ hổng điển hình

Các ví dụ dưới đây là những trường hợp đại diện, không phải danh sách đầy đủ:

CVE-2002-2094: Theo dõi các phản hồi lỗi trong các cuộc tấn công dùng .., có phần giao thoa với lỗi vượt đường dẫn thư mục.
CVE-2001-1483: Liệt kê tên người dùng hợp lệ dựa trên phản hồi không nhất quán.
CVE-2001-1528: Liệt kê số tài khoản qua các phản hồi không nhất quán.
CVE-2004-2150 và CVE-2005-1650: Liệt kê người dùng qua sự khác biệt trong thông báo lỗi.
CVE-2004-0294: Bảng tin hiển thị thông báo khác nhau tùy người dùng có tồn tại hay không, hỗ trợ xác định người dùng hợp lệ và đoán mật khẩu vét cạn.
CVE-2004-0243: Hệ điều hành hiển thị thông báo khác nhau khi đăng nhập từ xa bị vô hiệu hóa, cho phép đoán mật khẩu bằng phương pháp vét cạn.
CVE-2002-0514 và CVE-2002-0515: Giá trị TTL khác nhau giúp xác định cổng có bị lọc hay không.
CVE-2001-1387: Sản phẩm có thể tạo phản hồi khác với phản hồi do quản trị viên chỉ định, có khả năng gây rò rỉ thông tin.
CVE-2004-0778: Hệ thống quản lý phiên bản trả về lỗi khác nhau khi dùng tùy chọn -X, qua đó làm lộ sự tồn tại của tệp hoặc thư mục tùy ý.
CVE-2004-1428: Máy chủ FTP báo lỗi khi tên người dùng không tồn tại thay vì yêu cầu mật khẩu, giúp xác định tên người dùng hợp lệ.

Dữ liệu MITRE CWE chính thức

Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-204, dựa theo mức độ ưu tiên

Nguồn (2)

MITRE CWE

CWE Terms of Use

CWE-204: Sự khác biệt trong phản hồi có thể quan sát được

CWE-204 là gì?

Xác minh để phân tích mục CWE này

Số lượng lỗ hổng nằm trong CWE-204

Không có dữ liệu

Định nghĩa chính thức

Chi tiết kỹ thuật

Đặc điểm

Hậu quả thường gặp

Biện pháp giảm thiểu rủi ro

Cách phát hiện trong hệ thống

Lỗ hổng điển hình

Kiểm tra chuyên sâu cùng giải pháp quản lý rủi ro Web toàn diện

Tìm hiểu các tài nguyên khác từ CyStack

Báo cáo độ an toàn trang Web

Nghiên cứu của CyStack

Kiến thức về An ninh mạng