Reino: Environment

Esta seção contém tudo o que fica fora do código-fonte, porém que é essencial para a segurança do produto que está sendo criado. Como os problemas tratados neste domínio não são diretamente relacionados com o código-fonte, nós o separamos dos demais domínios.

Insecure Deployment: Predictable Resource Name

Python
Universal

Abstract

O uso de nomes previsíveis para os recursos confidenciais poderia ajudar um invasor no processo de descoberta de aplicativos.

Explanation

Os recursos de aplicativos que contenham informações confidenciais ou que ofereçam funcionalidades privilegiadas, geralmente estarão em um risco maior de exploração. Durante a fase de reconhecimento, um invasor farpa tentativas para descobrir esses arquivos e diretórios. Usar esquemas de nomeação previsíveis para tais recursos torna mais fácil para o invasor localizá-los. Todos os recursos de aplicativos que lidam com funcionalidades confidenciais, como autenticação, tarefas administrativas, ou gerenciamento de informações privadas, devem ser suficientemente protegidos contra a descoberta.

Exemplo 1: Neste exemplo, o aplicativo admin é implantado em uma URL previsível:


from django.conf.urls import patterns
from django.contrib import admin

admin.autodiscover()

urlpatterns = patterns('',
    ...
    url(r'^admin/', include(admin.site.urls)),
    ...

Os recursos responsáveis pelo armazenamento de dados devem ser separados daqueles que implementam a funcionalidade do aplicativo. Os programadores devem ter cautela ao criar recursos temporários ou de backup.

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 340

[2] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001368, CCI-001414

[3] Standards Mapping - NIST Special Publication 800-53 Revision 4 AC-4 Information Flow Enforcement (P1)

[4] Standards Mapping - NIST Special Publication 800-53 Revision 5 AC-4 Information Flow Enforcement

[5] Standards Mapping - OWASP Mobile 2024 M2 Inadequate Supply Chain Security

[6] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration

[7] Standards Mapping - OWASP Top 10 2021 A02 Cryptographic Failures

[8] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[9] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[10] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[11] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[12] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[13] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[14] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[15] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[16] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[17] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[18] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[19] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[20] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[21] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 6.2 APSC-DV-000480 CAT II, APSC-DV-000490 CAT II

[24] Standards Mapping - Web Application Security Consortium Version 2.00 Predictable Resource Location (WASC-34)

desc.structural.python.insecure_deployment_predictable_resource_name