エラーによるディレクトリの列挙。CVSS3.1と修復
Aug 20 2020
このシナリオを考えてみましょう。https://www.example.com/existentdirectoryWebアプリケーションを参照すると、「ディレクトリリストが拒否されました」というエラーが表示されます。
https://www.example.com/nonexistentdirectoryWebアプリケーションを参照すると、「ファイルディレクトリが見つかりません」というエラーが表示されます。
私にとって、これは攻撃者がディレクトリを列挙し、ターゲットに関する情報を取得するチャンスを表しています。
次のCVSS3.1ベクトルを割り当てます。
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
しかし、修復部分はどうですか？本当に必要ですか？両方の応答に一般的なエラーを使用することは逆効果のアドバイスでしょうか？
回答
1 Sibwara Aug 20 2020 at 10:54
内部ツリー構造は正確に「秘密」と呼ぶことができるものではないため、正しいCVSSスコアを決定することは困難です。
したがって、機密性への影響について話し合う必要があります。
ターゲットに関する情報を取得すると、さらなる攻撃が簡単になりますが、それは攻撃ではありません。
この違いは、「脆弱性」とは異なる「コンプライアンス違反」の概念によって具体化されることがあります。
この特定の例の修正は、多くの場合、すべてのエラーをキャプチャしてログに記録し（エラー500やその他の重要なエラーが発生したときに通知を受け取る）、コード200OKの一般的なエラーメッセージをブラウザに表示することです。
このようにして、多くのWebスキャナーを取り除くこともできます