Falhas do tipo CWE-649

6 resultados

Confiança em ofuscação ou criptografia sem verificação de integridade

Quando um aplicativo criptografa ou ofusca dados sensíveis (como tokens, credenciais ou parâmetros de segurança) mas não valida se foram alterados durante o tráfego ou armazenamento. Um atacante pode modificar esses dados criptografados sem que o sistema detecte, contornando controles de segurança que deveriam estar em vigor.

Exemplo

Um sistema criptografa um ID de usuário antes de enviá-lo ao cliente, mas não usa HMAC ou assinatura. O atacante intercepta, modifica o ID criptografado e reenvia; o servidor descriptografa sem questionar e processa como se fosse legítimo, elevando privilégios.

Como mitigar

Use criptografia autenticada (AES-GCM) ou adicione um HMAC/assinatura digital sobre dados sensíveis. Sempre valide a integridade antes de usar qualquer entrada ofuscada ou criptografada, nunca confie apenas na criptografia como proteção contra modificação.

CVE-2019-3730MEDIUMRSA BSAFE Micro Edition Suite versions prior to 4.1.6.3 (in 4.1.x) and prior to 4.4 (in 4.2.x and 4.3.x), are vulnerable to an Information EEPSS 0.6%CVE-2010-3300—It was found that all OWASP ESAPI for Java up to version 2.0 RC2 are vulnerable to padding oracle attacks.EPSS 0.4%CVE-2024-10772HIGHSICK InspectorP61x and SICK InspectorP62x are vulnerable for firmware modificationEPSS 0.3%CVE-2025-41351MEDIUMWeak encryption on Funambol's cloud serverEPSS 0.2%CVE-2024-36279MEDIUMReliance on obfuscation or encryption of security-relevant inputs without integrity checking issue exists in "FreeFrom - the nostr client" AEPSS 0.1%CVE-2025-5323MEDIUMfossasia open-event-server Mail Verification mail.py send_email_change_user_email reliance on obfuscation or encryption of security-relevant inputs without integrity checkingEPSS 0.1%