Information Disclosure – Suspicious Comments

Was ist Information Disclosure – Suspicious Commments?

Bei Information Disclosure – Suspicious Comments (Informationsenthüllung durch verdächtige Kommentare) scheint die Antwort verdächtige Kommentare zu enthalten, die einem Angreifer helfen.

Informationsenthüllung ist eine vorsätzliche oder unbeabsichtigte Weitergabe von Informationen an einen Akteur, der nicht ausdrücklich zum Zugriff auf diese Informationen berechtigt ist.

Beschreibung

Solche Informationen sind:

• sensibel innerhalb der eigenen Funktionalität des Produkts, beispielsweise eine private Nachricht; oder
• Informationen über das Produkt oder seine Umgebung, die für einen Angriff nützlich sein könnten, dem Angreifer jedoch normalerweise nicht zur Verfügung stehen, z.B. der Installationspfad.

Daraus ergeben sich viele Informationsenthüllungen (z.B. ein PHP-Skript Fehler), sie können jedoch auch primär sein (z.B. zeitliche Abweichungen bei der Kryptografie). Es gibt viele verschiedene Arten von Problemen, die Informationen enthalten. Ihr Schweregrad kann je nach Art der Informationen, die angezeigt werden, sehr unterschiedlich sein.

Lösung

Entfernen aller Kommentare, die Informationen zurückgeben, die einem Angreifer helfen können und beheben aller zugrundeliegenden Probleme, auf die sich diese beziehen.

Unterteilen Sie das System, um “sichere” Bereiche zu erhalten, in denen Vertrauensgrenzen eindeutig festgelegt werden können. Lassen Sie nicht zu, dass sensible Daten diese Grenze überschreiten, und seien Sie immer vorsichtig, wenn Sie eine Verbindung außerhalb des sicheren Bereichs herstellen.

Stellen Sie sicher, dass eine geeignete Unterteilung in das Systemdesign integriert ist und dass die Unterteilung dazu dient, die Privilegien zuzulassen und weiter zu verstärken. Wenden Sie das Prinzip des geringsten Privilegs an, um zu entscheiden, wann es angebracht ist, Systemprivilegien zu nutzen und zu widerrufen.