Pencacahan direktori karena kesalahan. CVSS3.1 dan remediasi

Aug 20 2020

Mari pertimbangkan skenario ini. Jika saya menelusuri https://www.example.com/existentdirectoryaplikasi web menunjukkan kesalahan ini "daftar direktori ditolak".

Jika saya menelusuri ke https://www.example.com/nonexistentdirectoryaplikasi web menunjukkan kesalahan ini "direktori file tidak ditemukan".

Bagi saya ini akan memberikan kesempatan bagi penyerang untuk menghitung direktori dan mendapatkan informasi tentang target.

Saya akan menetapkan vektor CVSS3.1 berikut:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Tapi bagaimana dengan bagian remediasi? Apakah itu benar-benar dibutuhkan? Apakah akan menjadi saran yang kontraproduktif untuk menggunakan kesalahan umum untuk kedua tanggapan?

Jawaban

1 Sibwara Aug 20 2020 at 10:54

Sulit untuk menentukan skor CVSS yang benar karena struktur pohon internal tidak dapat kita sebut sebagai "rahasia".
Jadi dampak kerahasiaannya harus dibicarakan.

Memperoleh informasi tentang target membuat serangan lebih lanjut lebih sederhana, tetapi itu bukan serangan.
Perbedaan ini terkadang diwujudkan dengan konsep "ketidakpatuhan" yang berbeda dengan "kerentanan".

Perbaikan untuk contoh khusus ini sering kali menangkap dan mencatat setiap kesalahan (sehingga Anda diberi tahu ketika ada kesalahan 500 dan kesalahan penting lainnya) dan untuk menampilkan pesan kesalahan umum dengan kode 200 OK ke browser.
Dengan cara ini, Anda juga dapat menyingkirkan banyak pemindai web