CWE-90 là Không vô hiệu hóa đúng các phần tử đặc biệt được sử dụng trong truy vấn LDAP (LDAP Injection). Lỗi phát sinh khi Sản phẩm xây dựng toàn bộ hoặc một phần truy vấn LDAP từ dữ liệu chịu ảnh hưởng bên ngoài nhưng không vô hiệu hóa, hoặc vô hiệu hóa không đúng, các phần tử đặc biệt. Hiện có 48 lỗ hổng trong kho dữ liệu liên quan đến CWE-90 và không có lỗ hổng nào nằm trong danh mục khai thác thực tế của CISA.
Chưa có dữ liệu về lỗ hổng trong CISA KEV cho CWE-90
Ứng dụng nhận dữ liệu từ một thành phần thượng nguồn hoặc nguồn bên ngoài rồi dùng dữ liệu đó để tạo động toàn bộ hoặc một phần truy vấn LDAP. Nếu các ký tự hoặc phần tử có ý nghĩa đặc biệt trong LDAP không được vô hiệu hóa đúng cách, dữ liệu đầu vào có thể được diễn giải như một phần của cú pháp truy vấn thay vì chỉ là dữ liệu. Điều này làm sai lệch điều kiện hoặc cấu trúc truy vấn dự kiến và tạo ra hành vi ngoài ý muốn tại thành phần LDAP hạ nguồn.
Điểm yếu xuất hiện khi dữ liệu chịu ảnh hưởng bên ngoài được đưa vào quá trình tạo truy vấn LDAP mà các phần tử đặc biệt không được xử lý đúng. Do đó, dữ liệu đầu vào có thể vượt qua ý định ban đầu của ứng dụng và làm thay đổi ngữ nghĩa của truy vấn tại thành phần LDAP hạ nguồn. Điểm yếu được ghi nhận phát sinh trong giai đoạn triển khai và không phụ thuộc vào ngôn ngữ lập trình cụ thể; nền tảng liên quan bao gồm máy chủ cơ sở dữ liệu.
Truy vấn LDAP bị thay đổi có thể ảnh hưởng đến tính bảo mật, tính toàn vẹn và tính sẵn sàng. Tùy thuộc vào truy vấn và hành vi của hệ thống, hậu quả có thể gồm đọc dữ liệu ứng dụng, sửa đổi dữ liệu ứng dụng, thực thi mã hoặc lệnh trái phép, hoặc gây ra hành vi ngoài ý muốn khác như từ chối dịch vụ.
| Tác động | Phạm vi | Diễn giải |
|---|---|---|
| Thực thi mã hoặc lệnh trái phép, Đọc dữ liệu ứng dụng, Thay đổi dữ liệu ứng dụng | Tính bí mật, Tính toàn vẹn, Tính sẵn sàng | An attacker could include input that changes the LDAP query which allows unintended commands or code to be executed, allows sensitive data to be read or modified or causes other unintended behavior. |
Xác thực dữ liệu đầu vào: Coi mọi dữ liệu đầu vào là có khả năng độc hại và áp dụng chiến lược chỉ chấp nhận dữ liệu hợp lệ đã biết. Xác định các giá trị được phép phải tuân thủ nghiêm ngặt đặc tả, bao gồm độ dài, kiểu dữ liệu, toàn bộ phạm vi giá trị hợp lệ, trường bị thiếu hoặc thừa, cú pháp, tính nhất quán giữa các trường liên quan và quy tắc nghiệp vụ. Từ chối dữ liệu không phù hợp hoặc chuyển đổi nó thành dạng phù hợp. Không chỉ dựa vào danh sách chặn các giá trị độc hại hoặc sai định dạng, vì cách này có thể bỏ sót đầu vào bất thường và có thể bị vượt qua khi môi trường thay đổi; tuy vậy, danh sách chặn vẫn có thể hỗ trợ phát hiện dấu hiệu tấn công hoặc xác định dữ liệu cần bị từ chối ngay.
Phân tích tĩnh tự động, còn gọi là SAST, có thể phát hiện một số trường hợp bằng cách phân tích mã nguồn hoặc mã đã biên dịch mà không cần thực thi. Phương pháp này thường lập mô hình luồng dữ liệu và luồng điều khiển, sau đó tìm các mẫu kết nối nguồn dữ liệu đầu vào với các điểm đích nơi dữ liệu tương tác với thành phần bên ngoài hoặc lớp hạ nguồn; hiệu quả được ghi nhận là cao, nhưng phương pháp này không nhất thiết phát hiện mọi trường hợp.
| Phương pháp | Cách làm | Hiệu quả |
|---|---|---|
| Phân tích tĩnh tự động | Automated static analysis, commonly referred to as Static Application Security Testing (SAST), can find some instances of this weakness by analyzing source code (or binary/compiled code) without having to execute it. Typically, this is done by building a model of data flow and control flow, then searching for potentially-vulnerable patterns that connect "sources" (origins of input) with "sinks" (destinations where the data interacts with external components, a lower layer such as the OS, etc.) | Cao |
Các ví dụ quan sát được dưới đây chỉ là ví dụ đại diện, không phải danh sách đầy đủ. CVE-2021-41232 liên quan đến một chuỗi lỗi trong đó quy trình xác thực của sản phẩm phát triển linh hoạt viết bằng Go không escape tên người dùng, dẫn đến LDAP injection. CVE-2005-2301 liên quan đến máy chủ không escape đúng các truy vấn LDAP, cho phép kẻ tấn công từ xa gây từ chối dịch vụ và có thể thực hiện LDAP injection.
Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-90, dựa theo mức độ ưu tiên
CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Đánh giá mức độ an toàn và các đề xuất tới từ CyStack cho các trang Web
Tìm hiểu các nghiên cứu của đội ngũ chuyên gia chúng tôi trong an ninh mạng
Tìm hiểu về giải pháp tình báo mối đe doạ và phát hiện lộ lọt dữ liệu tới từ CyStack
vi
