CWE-269 là quản lý đặc quyền không đúng cách. Lỗi phát sinh khi sản phẩm không phân công, sửa đổi, theo dõi hoặc kiểm tra đúng các đặc quyền của một tác nhân, từ đó tạo cho tác nhân này một phạm vi kiểm soát ngoài dự kiến. Hiện có 596 lỗ hổng trong kho dữ liệu liên quan đến CWE-269 và 2 trong số đó nằm trong danh mục khai thác thực tế của CISA.
Quản lý đặc quyền bao gồm toàn bộ vòng đời của quyền truy cập: xác định quyền cần cấp, gán quyền, thay đổi hoặc thu hồi quyền, duy trì trạng thái quyền, truyền ngữ cảnh bảo mật và kiểm tra quyền trước các thao tác nhạy cảm. Điểm yếu xảy ra khi một trong các bước này được thực hiện không chính xác, chẳng hạn quyền không được đặt lại khi phiên kết thúc, vai trò hoặc trạng thái được tính sai, hoặc tiến trình con nhận ngữ cảnh đặc quyền không phù hợp.
Hậu quả là tác nhân có thể kiểm soát tài nguyên, thao tác hoặc danh tính vượt quá phạm vi được phép. Các lỗi liên quan đến đặc quyền hệ điều hành, quyền setuid, nhóm người dùng, khả năng hệ thống hoặc các quyền truy cập nội bộ đều có thể là biểu hiện của vấn đề này, dù một số trường hợp còn phụ thuộc vào điểm yếu kết hợp khác.
Điểm yếu này có thể xuất hiện khi thiết kế kiến trúc, khi hiện thực hóa các cơ chế bảo mật trong mã nguồn, hoặc trong quá trình vận hành. Nó bao gồm việc cấp sai quyền, không thu hồi hoặc đặt lại quyền, theo dõi trạng thái quyền không chính xác, truyền sai ngữ cảnh bảo mật, hoặc kiểm tra quyền không đầy đủ. Điểm yếu không phụ thuộc vào ngôn ngữ lập trình cụ thể và có thể tạo ra phạm vi kiểm soát lớn hơn dự kiến cho người dùng, tiến trình, đối tượng hoặc tác nhân khác.
Hậu quả chính là lỗi kiểm soát truy cập, trong đó tác nhân có thể đạt được đặc quyền hoặc giả danh một danh tính khác. Phạm vi kiểm soát ngoài dự kiến có thể bao gồm tài nguyên được bảo vệ, thao tác đặc quyền hoặc thực thể nhạy cảm về bảo mật, tùy vào quyền đã bị gán, giữ lại, truyền đi hoặc kiểm tra sai.
| Tác động | Phạm vi | Diễn giải |
|---|---|---|
| Chiếm đặc quyền hoặc mạo danh | Kiểm soát truy cập | - |
Quản trị đặc quyền: Quản lý cẩn thận việc thiết lập, điều hành và xử lý đặc quyền trong toàn bộ sản phẩm, đồng thời xác định và quản lý rõ ràng các vùng tin cậy trong phần mềm.
Đặc quyền tối thiểu: Trong giai đoạn kiến trúc và thiết kế, chỉ cấp cho mỗi thực thể các quyền truy cập mà thực thể đó cần.
Phân tách đặc quyền: Khi phù hợp, yêu cầu đáp ứng nhiều điều kiện độc lập trước khi cho phép truy cập tài nguyên hệ thống.
Phân tích tĩnh tự động, thường được gọi là SAST, có thể phát hiện một số trường hợp bằng cách phân tích mã nguồn hoặc mã nhị phân đã biên dịch mà không cần thực thi chương trình. Phương pháp này thường lập mô hình luồng dữ liệu và luồng điều khiển, sau đó tìm các mẫu có khả năng dễ bị lỗi nối các nguồn đầu vào với các điểm đích nơi dữ liệu tương tác với thành phần bên ngoài hoặc lớp thấp hơn như hệ điều hành. Cách phát hiện này có phạm vi giới hạn và không bảo đảm tìm được mọi trường hợp quản lý đặc quyền không đúng cách.
| Phương pháp | Cách làm | Hiệu quả |
|---|---|---|
| Phân tích tĩnh tự động | Automated static analysis, commonly referred to as Static Application Security Testing (SAST), can find some instances of this weakness by analyzing source code (or binary/compiled code) without having to execute it. Typically, this is done by building a model of data flow and control flow, then searching for potentially-vulnerable patterns that connect "sources" (origins of input) with "sinks" (destinations where the data interacts with external components, a lower layer such as the OS, etc.) | Cao |
Các mục sau đây là ví dụ đại diện trong bản ghi chính thức, không phải danh sách đầy đủ:
CVE-2001-1555: Đặc quyền của terminal không được đặt lại khi người dùng đăng xuất.CVE-2001-1514: Trong một số trường hợp, ngữ cảnh bảo mật không được truyền đúng cho tiến trình con, cho phép leo thang đặc quyền.CVE-2001-0128: Vai trò được tính toán không đúng.CVE-1999-1193: Người dùng không tin cậy được đưa vào nhóm Unix wheel.CVE-2005-2741: Người dùng có thể tự cấp cho mình một số quyền rồi dùng chúng để leo thang đặc quyền.CVE-2005-2496: Sản phẩm sử dụng ID nhóm của người dùng thay vì nhóm phù hợp, khiến sản phẩm chạy với đặc quyền khác; đây là hậu quả của một vấn đề khác chưa xác định.CVE-2004-0274: Sản phẩm gán nhầm một trạng thái cho thực thể, dẫn đến tăng đặc quyền.CVE-2007-4217: Chương trình FTP chạy với đặc quyền setuid và có lỗi tràn bộ đệm; các ứng dụng khách không cần đặc quyền bổ sung sẽ không bị biến lỗi tràn này thành lỗ hổng chỉ vì nguyên nhân đó.CVE-2007-5159: Hệ điều hành cài đặt sai một chương trình với đặc quyền setuid, cho phép người dùng đạt được đặc quyền.CVE-2008-4638: Ứng dụng chạy với đặc quyền cao cho phép người dùng chỉ định tệp bị hạn chế để xử lý, từ đó lỗi phân tích cú pháp làm rò rỉ nội dung tệp.CVE-2007-3931: Tập lệnh cài đặt đặt một số chương trình thành setuid dù chúng không nên có đặc quyền này.CVE-2002-1981: Vai trò có quyền truy cập vào các thủ tục nguy hiểm.CVE-2002-1671: Đối tượng hoặc phương thức không tin cậy có quyền truy cập clipboard.CVE-2000-0315: Chương trình traceroute cho phép người dùng không có đặc quyền sửa địa chỉ nguồn của gói tin.CVE-2000-0506: Người dùng có capability có thể ngăn chương trình setuid loại bỏ đặc quyền.Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-269, dựa theo mức độ ưu tiên
CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Đánh giá mức độ an toàn và các đề xuất tới từ CyStack cho các trang Web
Tìm hiểu các nghiên cứu của đội ngũ chuyên gia chúng tôi trong an ninh mạng
Tìm hiểu về giải pháp tình báo mối đe doạ và phát hiện lộ lọt dữ liệu tới từ CyStack
vi
