Fallos del tipo CWE-412

6 resultados

Bloqueio externo acessível sem restrição

Uma aplicação expõe um mecanismo de bloqueio (lock) para código externo sem validar quem pode acessá-lo, permitindo que um atacante obtenha ou libere o bloqueio de forma não autorizada. Isso compromete a exclusão mútua e pode levar a condições de corrida (race conditions) ou interrupção de operações críticas.

Ejemplo

Um serviço RMI Java expõe um objeto de sincronização que qualquer cliente remoto pode chamar para bloquear recursos compartilhados. Um atacante acessa o serviço, obtém o lock e o mantém indefinidamente, bloqueando outras operações legítimas ou causando deadlock.

Cómo mitigar

Implemente controle de acesso rigoroso no mecanismo de bloqueio (validar identidade e permissões do chamador), encapsule o lock como privado, e nunca exponha primitivas de sincronização diretamente via APIs remotas ou públicas. Use tokens temporários ou sessões autenticadas para operações que precisem de sincronização distribuída.

CVE-2019-18269HIGHOmron’s CS and CJ series PLCs have an unrestricted externally accessible lock vulnerability.EPSS 1.0%CVE-2023-38505HIGHDietPi-Dashboard Insufficient TLS Handshake PoolEPSS 0.8%CVE-2023-22318HIGHDenial of service against webconfEPSS 0.5%CVE-2019-11485LOWapport created lock file in wrong directoryEPSS 0.3%CVE-2026-62426HIGHsysctl and platform-op locks open to abuseEPSS 0.2%CVE-2026-25612HIGHInternal ResourceId collision may affect unrelated collectionsEPSS 0.2%