CWE-284: Kiểm soát truy cập không phù hợp

Kiểm soát truy cập dựa trên nhiều cơ chế bổ trợ: xác thực để chứng minh danh tính tác nhân, phân quyền để xác định tác nhân đó được phép truy cập tài nguyên nào, và trách nhiệm giải trình để theo dõi hoạt động đã thực hiện. Điểm yếu có thể nằm trong chính sách hoặc cấu hình được chỉ định, hoặc trong mã và cơ chế thực thi không bảo đảm chính sách đó. Vì vậy, một hệ thống có thể thất bại do cấp quyền quá rộng ngay từ đầu, hoặc do cho phép vượt qua các giới hạn quyền vốn đã được quản trị viên thiết lập.

Điểm yếu này có thể xuất hiện ở hai dạng. Đặc tả sai xảy ra khi quyền, quyền truy cập hoặc quyền sở hữu được cấu hình không đúng, chẳng hạn tài nguyên được ghi bởi mọi người dùng hoặc tài khoản khách được cấp khả năng quản trị. Thực thi sai xảy ra khi cơ chế kiểm soát không áp dụng đúng chính sách đã định, chẳng hạn cho phép người dùng tự xác định đặc quyền hoặc xử lý danh sách kiểm soát truy cập không hợp lệ theo cách tạo ra cấu hình không an toàn. Kiểm soát truy cập bao gồm các cơ chế xác thực danh tính, phân quyền truy cập tài nguyên và truy vết hoạt động.

Tác động phụ thuộc vào ngữ cảnh. Khi cơ chế kiểm soát truy cập bị thiếu hoặc thất bại, kẻ tấn công có thể giành đặc quyền hoặc giả mạo danh tính, đọc thông tin nhạy cảm, thực thi lệnh, né tránh phát hiện hoặc bằng cách khác làm tổn hại an ninh của sản phẩm.

Quản lý đặc quyền: Quản lý cẩn trọng việc thiết lập, quản trị và xử lý đặc quyền, đồng thời xác định rõ các vùng tin cậy trong phần mềm. Phân tách đặc quyền: Thiết kế các vùng ngăn cách bảo mật rõ ràng và giữ dữ liệu nhạy cảm trong ranh giới tin cậy phù hợp. Việc phân vùng cần củng cố khả năng tách biệt đặc quyền; áp dụng nguyên tắc đặc quyền tối thiểu bằng cách chỉ dùng đặc quyền nâng cao khi cần và hạ đặc quyền ngay khi không còn cần thiết.

Hồ sơ CWE chính thức không nêu phương pháp phát hiện cụ thể cho điểm yếu này.

Các ví dụ sau là một số trường hợp đại diện, không phải toàn bộ các lỗ hổng thuộc CWE này:

• CVE-2023-26463: việc dùng cùng một biến cho nhiều mục đích trong một hàm dẫn đến kiểm soát truy cập không đúng, trong một chuỗi lỗi còn có giải tham chiếu con trỏ hết hạn.
• CVE-2022-24985: website lưu trữ biểu mẫu chỉ kiểm tra trạng thái xác thực phiên cho một biểu mẫu, cho phép vượt qua xác thực khi có nhiều biểu mẫu.
• CVE-2022-29238: công cụ cộng tác tài liệu trên web ngăn liệt kê thư mục ẩn nhưng không ngăn yêu cầu trực tiếp đến tệp trong các thư mục đó.
• CVE-2022-23607: thư viện HTTP Python không giới hạn cookie theo miền cụ thể, khiến cookie có thể được gửi đến mọi miền khi chuyển hướng.
• CVE-2021-21972: nền tảng ảo hóa điện toán đám mây cho phép tải tệp mà không cần xác thực, sau đó xử lý chuỗi .. để truy cập các tệp ngoài dự kiến.
• CVE-2021-37415 và CVE-2020-13927: lần lượt cho phép một số yêu cầu API REST hoặc toàn bộ yêu cầu API được thực hiện mà không cần xác thực.
• CVE-2021-35033 và CVE-2020-10263: mật khẩu được mã hóa cứng hoặc chức năng gỡ lỗi UART không yêu cầu xác thực, dẫn đến khả năng truy cập shell với quyền cao.
• CVE-2010-4624: sản phẩm giới hạn số hình ảnh khi tạo bài đăng nhưng không áp dụng giới hạn tương tự khi chỉnh sửa.