View-884: CWE Cross-section

admin
admin
admin
81906
文章
71
评论
2022年1月14日11:43:30评论143 views字数 3581阅读11分56秒阅读模式

View-884: CWE Cross-section

ID: 884

Type: Explicit

Status: Incomplete

Objective

This view contains a selection of weaknesses that represent the variety of weaknesses that are captured in CWE, at a level of abstraction that is likely to be useful to most audiences. It can be used by researchers to determine how broad their theories, models, or tools are. It will also be used by the CWE content team in 2012 to focus quality improvement efforts for individual CWE entries.

Membership

CWE-ID title
CWE-14 编译器移除释放缓冲区的代码
CWE-22 对路径名的限制不恰当（路径遍历）
CWE-23 相对路径遍历
CWE-36 绝对路径遍历
CWE-41 对路径等价的解析不恰当
CWE-59 在文件访问前对链接解析不恰当（链接跟随）
CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）
CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）
CWE-88 参数注入或修改
CWE-89 SQL命令中使用的特殊元素转义处理不恰当（SQL注入）
CWE-90 LDAP查询中使用的特殊元素转义处理不恰当（LDAP注入）
CWE-94 对生成代码的控制不恰当（代码注入）
CWE-95 动态执行代码中指令转义处理不恰当（Eval注入）
CWE-96 静态存储代码中指令转义处理不恰当（静态代码注入）
CWE-99 对资源描述符的控制不恰当（资源注入）
CWE-113 HTTP头部中CRLF序列转义处理不恰当（HTTP响应分割）
CWE-117 日志输出的转义处理不恰当
CWE-120 未进行输入大小检查的缓冲区拷贝（传统缓冲区溢出）
CWE-129 对数组索引的验证不恰当
CWE-131 缓冲区大小计算不正确
CWE-134 使用外部控制的格式字符串
CWE-135 多字节字符串长度的计算不正确
CWE-170 不恰当的空终结符
CWE-173 候选编码方案处理不恰当
CWE-174 对同一数据的双重编码
CWE-175 混合编码处理不恰当
CWE-179 不正确的行为次序：过早验证
CWE-185 不正确的正则表达式
CWE-190 整数溢出或超界折返
CWE-191 整数下溢（超界折返）
CWE-193 Off-by-one错误
CWE-203 通过差异性导致的信息暴露
CWE-209 通过错误消息导致的信息暴露
CWE-212 敏感数据的不恰当跨边界移除
CWE-222 安全相关信息的截断
CWE-223 安全相关信息的遗漏
CWE-228 语法无效结构处理不恰当
CWE-244 在释放前清理堆内存不恰当（堆检查）
CWE-248 未捕获的异常
CWE-250 带着不必要的权限执行
CWE-252 未加检查的返回值
CWE-253 对函数返回值的检查不正确
CWE-262 未使用口令老化机制
CWE-263 口令老化拥有过长有效期
CWE-266 特权授予不正确
CWE-267 特权定义了不安全动作
CWE-268 特权链锁
CWE-270 特权上下文切换错误
CWE-271 特权放弃/降低错误
CWE-273 对于放弃特权的检查不恰当
CWE-283 未经验证的属主
CWE-290 使用欺骗进行的认证绕过
CWE-294 使用捕获-重放进行的认证绕过
CWE-296 证书信任链回溯不恰当
CWE-299 证书撤销验证不恰当
CWE-300 通道可被非端点访问（中间人攻击）
CWE-301 认证协议中的反射攻击
CWE-304 认证中关键步骤缺失
CWE-306 关键功能的认证机制缺失
CWE-307 过多认证尝试的限制不恰当
CWE-308 使用单一因素认证机制
CWE-312 敏感数据的明文存储
CWE-319 敏感数据的明文传输
CWE-322 未进行实体认证的密钥交换
CWE-323 在加密中重用Nonce与密钥对
CWE-325 缺少必要的密码学步骤
CWE-327 使用已被攻破或存在风险的密码学算法
CWE-331 信息熵不充分
CWE-334 随机数的空间太小
CWE-335 PRNG种子错误
CWE-338 使用具有密码学弱点缺陷的PRNG
CWE-341 从可观察状态的可预测
CWE-347 密码学签名的验证不恰当
CWE-348 使用不可信的源
CWE-349 在可信数据中接受外来的不可信数据
CWE-352 跨站请求伪造（CSRF）
CWE-353 缺失完整性检查支持
CWE-354 完整性检查值验证不恰当
CWE-364 信号处理例程中的竞争条件
CWE-367 检查时间与使用时间(TOCTOU)的竞争条件
CWE-369 除零错误
CWE-390 未有动作错误条件的检测
CWE-392 错误条件报告缺失
CWE-393 返回错误的状态编码
CWE-400 未加控制的资源消耗（资源穷尽）
CWE-406 对网络消息容量的控制不充分（网络放大攻击）
CWE-407 算法复杂性
CWE-408 不正确的行为次序：早期放大攻击
CWE-409 对高度压缩数据的处理不恰当（数据放大攻击）
CWE-434 危险类型文件的不加限制上传
CWE-444 HTTP请求的解释不一致性（HTTP请求私运）
CWE-451 关键信息的UI错误表达
CWE-453 不安全的缺省变量初始化
CWE-454 可信任变量或数据存储的外部初始化
CWE-455 初始化失效后的不存在变量
CWE-456 变量未经初始化
CWE-467 在指针类型上使用sizeof()
CWE-468 不正确的指针放大
CWE-469 使用指针的减法来确定大小
CWE-470 使用外部可控制的输入来选择类或代码（不安全的反射）
CWE-476 空指针解引用
CWE-478 在Switch语句中缺失缺省条件
CWE-480 使用操作符不正确
CWE-483 不正确的代码块分界
CWE-484 在Switch语句中省略Break语句
CWE-486 使用名称来比较对象
CWE-494 下载代码缺少完整性检查
CWE-495 从公开方法中返回私有的数组类型数据域
CWE-496 公开数据赋值给私有的数组类型数据域
CWE-498 包含敏感信息的可克隆类
CWE-499 可序列化的类中包含敏感信息
CWE-502 可信数据的反序列化
CWE-521 弱口令要求
CWE-522 不充分的凭证保护机制
CWE-546 可疑注释
CWE-547 使用硬编码、安全相关的常数
CWE-561 死代码
CWE-563 未使用的变量
CWE-567 在多现场上下文中未能对共享数据进行同步访问
CWE-587 将一个固定地址复制给指针
CWE-595 错误对对象引用当作对象内容进行比较
CWE-601 指向未可信站点的URL重定向（开放重定向）
CWE-602 服务端安全的客户端实施
CWE-605 对同一端口的多重绑定
CWE-617 可达断言
CWE-621 变量抽取错误
CWE-627 动态变量执行
CWE-628 使用不正确指定参数的函数调用
CWE-642 对关键状态数据的外部可控制
CWE-648 特权API的不正确使用
CWE-667 加锁机制不恰当
CWE-672 在过期或释放后对资源进行操作
CWE-674 未经控制的递归
CWE-676 潜在危险函数的使用
CWE-681 数值类型间的不正确转换
CWE-698 重定向后执行（EAR）
CWE-708 不正确的属主授予
CWE-732 关键资源的不正确权限授予
CWE-756 定制错误页面缺失
CWE-763 对无效指针或索引的释放
CWE-770 不加限制或调节的资源分配
CWE-772 对已超过有效生命周期的资源丧失索引
CWE-783 操作符优先级逻辑错误
CWE-786 在缓冲区起始位置之前访问内存
CWE-788 在缓冲区结束位置之后访问内存
CWE-798 使用硬编码的凭证
CWE-805 使用不正确的长度值访问缓冲区
CWE-807 在安全决策中依赖未经信任的输入
CWE-822 非可信指针解引用
CWE-825 无效指针解引用
CWE-829 从非可信控制范围包含功能例程
CWE-835 不可达退出条件的循环（无限循环）
CWE-838 输出上下文语义编码不恰当
CWE-839 未进行最小值检查的数值范围比较
CWE-841 行为工作流的不恰当实施
CWE-862 授权机制缺失
CWE-863 授权机制不正确

文章来源于互联网:scap中文网

相关推荐: 通用弱点枚举（Common Weakness Enumeration）

通用弱点枚举（Common Weakness Enumeration）是一个软件社区项目，它的定位在于创建一个软件弱点和漏洞的类目。项目的目标是让人们更好地理解软件的缺陷并创建能够识别、修复以及阻止此类缺陷的自动化工具。 CWE的为程序员和安全从业者提供了一个…

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究，若将其信息做其他用途，由用户承担全部法律及连带责任，本站不承担任何法律及连带责任，请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年1月14日11:43:30
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                  View-884: CWE Cross-section http://cn-sec.com/archives/612526.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: