Fallos del tipo CWE-1282

8 resultados

Dados assumidos imutáveis armazenados em memória gravável

A fraqueza ocorre quando o código assume que certos dados (como constantes de segurança, chaves, flags críticas) não podem ser alterados, mas os armazena em memória que é na verdade gravável. Um atacante pode modificar esses dados em tempo de execução, contornando validações, lógica de autorização ou comprometendo a integridade do sistema.

Ejemplo

Um firmware assume que uma flag de 'admin_enabled' é constante e a coloca em RAM comum. Um atacante explorador de memória consegue flipar o bit dessa flag para ganhar privilégios de administrador sem quebrar criptografia ou passar por autenticação.

Cómo mitigar

Use memória somente-leitura (ROM, FLASH protegido) ou regiões de memória com permissões restritivas para dados que não devem mudar em tempo de execução. Implemente checksums ou MACs criptográficos para verificar integridade crítica de dados em runtime, detectando modificações não autorizadas.

CVE-2019-25358HIGHFileOptimizer 14.00.2524 - Denial of ServiceEPSS 0.4%CVE-2022-2483HIGH The bootloader in the Nokia ASIK AirScale system module (versions 474021A.101 and 474021A.102) loads public keys for firmware verification EPSS 0.2%CVE-2018-25229MEDIUMBulletProof FTP Server 2019.0.0.50 Denial of Service via SMTPEPSS 0.2%CVE-2019-25587MEDIUMBulletProof FTP Server 2019.0.0.50 Storage-Path Denial of ServiceEPSS 0.2%CVE-2019-25583MEDIUMRarmaRadio 2.72.3 Username Field Denial of ServiceEPSS 0.2%CVE-2019-25588MEDIUMBulletProof FTP Server 2019.0.0.50 Denial of Service via DNS AddressEPSS 0.2%CVE-2019-25551MEDIUMSandboxie 5.30 Denial of Service via Program Alerts Buffer OverflowEPSS 0.2%CVE-2019-25590MEDIUMAxessh 4.2 Denial of Service via Log File NameEPSS 0.2%