Schwachstellen
Unsichere Deserialisierung
Auch bekannt als: Unsafe Deserialization, Objekt-Deserialisierungs-Schwachstelle
Definition
Schwachstelle, bei der eine Anwendung nicht vertrauenswürdige Daten deserialisiert und Angreifer beliebige Objekte erzeugen — häufig mit Remote-Code-Execution.
Beispiele
- Java-App deserialisiert ein Session-Cookie mit Commons Collections im Classpath — Folge: RCE.
- Python-Dienst führt pickle.loads auf nutzerkontrollierten Bytes aus.
Verwandte Begriffe
Prototype Pollution
JavaScript-Schwachstelle, bei der nicht vertrauenswürdiger Input Object.prototype verändert, jedem Objekt Eigenschaften aufzwingt und so Verhalten ändert oder bis zu RCE führt.
Mass Assignment
Schwachstelle, bei der eine Anwendung vom Client übergebene Felder blind auf interne Objekteigenschaften abbildet, sodass Angreifer Felder setzen können, die ihnen nicht gehören sollten.
Remote Access Trojaner (RAT)
Schadsoftware, die einem Angreifer verdeckte, interaktive Kontrolle über ein infiziertes Gerät verschafft – wie ein verstecktes Fernwartungstool.
Command Injection
Command Injection — definition coming soon.
Defekte Zugriffskontrolle
Schwachstellenklasse, in der Autorisierungsregeln fehlen oder falsch durchgesetzt werden, sodass Benutzer Aktionen oder Daten außerhalb ihrer Rechte erreichen.
OWASP Top 10
OWASP Top 10 — definition coming soon.