Falhas do tipo CWE-343

5 resultados

Intervalo de valores previsível a partir de valores anteriores

A fraqueza ocorre quando um sistema gera valores (chaves, tokens, IDs) usando um padrão ou sequência que pode ser deduzido a partir de valores anteriores observados. Um atacante que captura alguns valores consegue prever os próximos, comprometendo a segurança de mecanismos que dependem da imprevisibilidade, como autenticação ou sessões.

Exemplo

Um sistema gera session IDs incrementando um contador: 1001, 1002, 1003. Um atacante que intercepta duas sessões legítimas consegue adivinhar a próxima com certeza, permitindo sequestro de sessão de outro usuário ou bypass de autenticação.

Como mitigar

Use geradores criptograficamente seguros (como java.security.SecureRandom ou os.urandom) para criar valores aleatórios, nunca padrões sequenciais ou matemáticos. Valide e rejeite valores duplicados ou suspeitos no servidor.

CVE-2017-7901—A Predictable Value Range from Previous Values issue was discovered in Rockwell Automation Allen-Bradley MicroLogix 1100 programmable-logic EPSS 6.7%CVE-2014-5409—GE Hydran M2 Predictable Value Range from Previous ValuesEPSS 2.7%CVE-2017-6030MEDIUMSchneider Electric Modicon PLCs Predictable Value Range from Previous ValuesEPSS 2.1%CVE-2026-32694MEDIUMInsecure Direct Object Reference attack via predictable secret ID in JujuEPSS 0.3%CVE-2026-33221LOWNhost Storage Affected by MIME Type Spoofing via Trusted Client Content-Type Header in Storage UploadEPSS 0.2%