CWE-706: Sử dụng tên hoặc tham chiếu được phân giải không chính xác

Sản phẩm dựa vào một tên hoặc tham chiếu để xác định tài nguyên cần truy cập. Nếu cơ chế phân giải ánh xạ giá trị đó tới tài nguyên nằm ngoài phạm vi kiểm soát dự kiến, sản phẩm có thể thực hiện thao tác trên đối tượng sai, thay vì trên tài nguyên mà logic bảo mật hoặc nghiệp vụ dự định. Vì vậy, lỗi nằm ở sự không khớp giữa tài nguyên được chỉ định về mặt logic và tài nguyên thực tế được phân giải, và có thể phát sinh từ kiến trúc, thiết kế hoặc mã triển khai.

Điểm yếu xảy ra khi cơ chế phân giải tên hoặc tham chiếu đưa hoạt động truy cập tới một tài nguyên không thuộc phạm vi kiểm soát mà sản phẩm dự kiến. Điểm yếu không phụ thuộc vào ngôn ngữ hay công nghệ cụ thể và có thể xuất hiện trong cả giai đoạn thiết kế kiến trúc lẫn triển khai.

Tên hoặc tham chiếu bị phân giải sai có thể dẫn đến việc đọc trái phép dữ liệu ứng dụng, ảnh hưởng đến tính bảo mật. Nó cũng có thể dẫn đến việc sửa đổi trái phép dữ liệu ứng dụng, ảnh hưởng đến tính toàn vẹn.

Bản ghi chính thức không nêu hướng dẫn giảm thiểu cho điểm yếu này.

Phân tích tĩnh tự động, thường được gọi là Static Application Security Testing (SAST), có thể phát hiện một số trường hợp bằng cách phân tích mã nguồn hoặc mã nhị phân mà không cần chạy chương trình. Phương pháp này thường lập mô hình luồng dữ liệu và luồng điều khiển, sau đó tìm các mẫu nguy hiểm nối các nguồn dữ liệu đầu vào với các điểm đích nơi dữ liệu tương tác với thành phần bên ngoài hoặc lớp thấp hơn, chẳng hạn hệ điều hành. Phương pháp này có phạm vi giới hạn và không nhất thiết phát hiện được mọi trường hợp phân giải sai tên hoặc tham chiếu.

Bản ghi chính thức không cung cấp các ví dụ lỗ hổng quan sát được mang tính đại diện.