Pencacahan direktori karena kesalahan. CVSS3.1 dan remediasi
Mari pertimbangkan skenario ini. Jika saya menelusuri https://www.example.com/existentdirectory
aplikasi web menunjukkan kesalahan ini "daftar direktori ditolak".
Jika saya menelusuri ke https://www.example.com/nonexistentdirectory
aplikasi web menunjukkan kesalahan ini "direktori file tidak ditemukan".
Bagi saya ini akan memberikan kesempatan bagi penyerang untuk menghitung direktori dan mendapatkan informasi tentang target.
Saya akan menetapkan vektor CVSS3.1 berikut:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Tapi bagaimana dengan bagian remediasi? Apakah itu benar-benar dibutuhkan? Apakah akan menjadi saran yang kontraproduktif untuk menggunakan kesalahan umum untuk kedua tanggapan?
Jawaban
Sulit untuk menentukan skor CVSS yang benar karena struktur pohon internal tidak dapat kita sebut sebagai "rahasia".
Jadi dampak kerahasiaannya harus dibicarakan.
Memperoleh informasi tentang target membuat serangan lebih lanjut lebih sederhana, tetapi itu bukan serangan.
Perbedaan ini terkadang diwujudkan dengan konsep "ketidakpatuhan" yang berbeda dengan "kerentanan".
Perbaikan untuk contoh khusus ini sering kali menangkap dan mencatat setiap kesalahan (sehingga Anda diberi tahu ketika ada kesalahan 500 dan kesalahan penting lainnya) dan untuk menampilkan pesan kesalahan umum dengan kode 200 OK ke browser.
Dengan cara ini, Anda juga dapat menyingkirkan banyak pemindai web