HTTP Parameter Override (HTTP Parameter Pollution)
Copyright © Shutterstock / Feng Yu
Was bedeutet HTTP Parameter Override (HTTP Parameter Pollution)?
Wenn ein Programm eine Benutzereingabe in URLs auf unsichere Weise einbettet, treten Sicherheitslücken in Bezug auf die HTTP-Parameterverunreinigung (HPP) auf. Ein Angreifer kann diese Sicherheitsanfälligkeit verwenden, um eine URL zu erstellen, die, wenn sie von einem anderen Anwendungsbenutzer besucht wird, URLs in der Antwort ändert, indem zusätzliche Abfragezeichenfolgeparameter eingefügt und manchmal vorhandene überschrieben werden.
Dies kann zu Links und Formularen führen, die unerwartete Nebenwirkungen haben. Es ist beispielsweise möglich, ein Einladungsformular mithilfe von HPP zu ändern, sodass die Einladung an einen unerwarteten Empfänger übermittelt wird.
Die Sicherheitsauswirkungen dieses Problems hängen weitgehend von der Art der Anwendungsfunktionalität ab. Auch wenn es keine direkten Auswirkungen hat, kann es ein Angreifer in Verbindung mit anderen Schwachstellen einsetzen, um den Gesamtschweregrad zu erhöhen.
Tipp
Überprüfen Sie die Sicherheit Ihrer Website mit unserem kostenlosen Security Crawler oder mit der OSG Performance Suite Free Version.
Lösung
Stellen Sie sicher, dass die Benutzereingabe URL-codiert ist, bevor sie in eine URL eingebettet wird.
Stellen Sie beim Datenaustausch zwischen Komponenten sicher, dass beide Komponenten dieselbe Zeichencodierung verwenden und an jeder Schnittstelle die richtige Kodierung angewendet wird. Legen Sie die von Ihnen verwendete Kodierung explizit fest, wenn das Protokoll dies zulässt.
Allgemeiner Schwachstellen-Datenbanklink
Wenn Sie noch Fragen bezüglich des Themas haben, dann können Sie sich gerne weiter über die zwei Seiten der CWE Organisation und oder auf der Seite der Portswigger darüber weiter informieren.
Sie haben noch Fragen?
