CWE-639 là vượt qua kiểm soát cấp quyền thông qua khóa do người dùng kiểm soát. Lỗi phát sinh khi hệ thống không ngăn chặn một người dùng truy cập dữ liệu hoặc bản ghi của người dùng khác bằng cách sửa giá trị khóa dùng để xác định dữ liệu đó. Hiện có 1.477 lỗ hổng trong kho dữ liệu liên quan đến CWE-639 và 1 trong số đó nằm trong danh mục khai thác thực tế của CISA.
Hệ thống thực hiện tra cứu bản ghi người dùng dựa trên một giá trị khóa nằm dưới sự kiểm soát của người dùng. Mặc dù người yêu cầu có thể đã đăng nhập, hệ thống không kiểm tra đúng quyền đối với thao tác truy cập và bản ghi cụ thể, nên các cơ chế cấp quyền khác có thể bị vượt qua.
Khóa có thể được truyền qua trường ẩn trong biểu mẫu HTML, tham số URL hoặc cookie không mã hóa. Nếu người dùng có thể thay đổi khóa và máy chủ tin tưởng giá trị đó mà không ràng buộc bản ghi với người dùng hiện tại, kẻ tấn công có thể truy cập dữ liệu của người khác. Một biểu hiện khác là mã phiên tuần tự hoặc dễ đoán, cho phép người dùng chuyển sang phiên của người khác để đọc hoặc sửa dữ liệu.
Điểm yếu phát sinh khi hệ thống tra cứu bản ghi dựa trên một khóa do người dùng kiểm soát, trong khi kiểm tra cấp quyền không xác nhận rằng người dùng đã đăng nhập được phép truy cập bản ghi cụ thể đó. Khóa có thể xuất hiện trong trường ẩn của biểu mẫu HTML, tham số URL hoặc biến cookie không mã hóa, khiến người dùng có thể thay đổi giá trị. Việc sử dụng mã phiên tuần tự hoặc dễ đoán cũng có thể cho phép chuyển sang phiên của người dùng khác để đọc hoặc sửa dữ liệu. Điểm yếu này thường hình thành trong giai đoạn kiến trúc và thiết kế, với khả năng khai thác được đánh giá là cao.
Các kiểm tra kiểm soát truy cập đối với dữ liệu hoặc chức năng cụ thể của người dùng có thể bị vượt qua. Người dùng có thể leo thang đặc quyền theo chiều ngang, tức đọc hoặc sửa thông tin của người dùng khác. Nếu khóa do người dùng kiểm soát thực chất là một cờ biểu thị trạng thái quản trị viên, điểm yếu cũng có thể dẫn đến leo thang đặc quyền theo chiều dọc và truy cập quản trị.
| Tác động | Phạm vi | Diễn giải |
|---|---|---|
| Vượt qua cơ chế bảo vệ | Kiểm soát truy cập | Access control checks for specific user data or functionality can be bypassed. |
| Chiếm đặc quyền hoặc mạo danh | Kiểm soát truy cập | Horizontal escalation of privilege is possible (one user can view/modify information of another user). |
| Chiếm đặc quyền hoặc mạo danh | Kiểm soát truy cập | Vertical escalation of privilege is possible if the user-controlled key is actually a flag that indicates administrator status, allowing the attacker to gain administrative access. |
Thực hiện kiểm tra cấp quyền cho mọi thao tác truy cập dữ liệu, bảo đảm người yêu cầu có đủ quyền đối với đúng bản ghi được yêu cầu. Không để người dùng kiểm soát từ bên ngoài khóa dùng để tra cứu bản ghi của người dùng khác; nếu khóa vẫn có thể bị tác động, phải phát hiện việc sửa đổi. Có thể dùng mã hóa để làm cho các giá trị khóa hợp lệ khác khó bị đoán hơn, đồng thời gắn chữ ký số với khóa để máy chủ xác minh khóa chưa bị thay đổi.
Phân tích tĩnh tự động, thường gọi là SAST, có thể phát hiện một số trường hợp bằng cách lập mô hình luồng dữ liệu và luồng điều khiển trong mã nguồn hoặc mã đã biên dịch, sau đó tìm các mẫu nối dữ liệu đầu vào với nơi dữ liệu được sử dụng. Phương pháp này không nhất thiết thực thi ứng dụng và chỉ phát hiện được những trường hợp mà các mẫu dễ bị tổn thương có thể được suy luận từ mã.
| Phương pháp | Cách làm | Hiệu quả |
|---|---|---|
| Phân tích tĩnh tự động | Automated static analysis, commonly referred to as Static Application Security Testing (SAST), can find some instances of this weakness by analyzing source code (or binary/compiled code) without having to execute it. Typically, this is done by building a model of data flow and control flow, then searching for potentially-vulnerable patterns that connect "sources" (origins of input) with "sinks" (destinations where the data interacts with external components, a lower layer such as the OS, etc.) | Cao |
Ví dụ đại diện, không phải danh sách đầy đủ, là CVE-2021-36539. Một ứng dụng giáo dục không giới hạn đúng các mã tệp theo từng người dùng, nên kẻ tấn công có thể đoán vét cạn các mã và truy cập các tệp thuộc người dùng khác, thể hiện dạng IDOR.
Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-639, dựa theo mức độ ưu tiên
CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Đánh giá mức độ an toàn và các đề xuất tới từ CyStack cho các trang Web
Tìm hiểu các nghiên cứu của đội ngũ chuyên gia chúng tôi trong an ninh mạng
Tìm hiểu về giải pháp tình báo mối đe doạ và phát hiện lộ lọt dữ liệu tới từ CyStack
vi
