検出

データベース接続文字列の漏洩

high Web App Scanning プラグイン ID 114276

Language:

概要

データベース接続文字列の漏洩

説明

ほとんどのウェブアプリケーションはデータベースに依存してユーザーに機能を提供しています。セキュアな設計では、これらのプライベートデータベース、またはクラウドデータベースを使用するには、ユーザー名とパスワードベースなどの認証情報が必要になります。

開発者は、このようなデータがクライアントサイドの JavaScript や HTML コメントなどで一般公開される可能性に気付くことなく、アプリケーションのさまざまな場所にハードコードすることがあります。これらの機密情報を利用することで、認証されていないリモートの攻撃者が、ウェブアプリケーションや企業が使用する重要なサービスへの特権アクセスを取得する可能性があります。

ソリューション

問題の根本原因 (コードへの手動データ挿入、フロントエンド JavaScript にバンドルされている環境変数など) を特定して、データベース接続文字列の漏洩を除去します。悪意のある攻撃者によって以前に取得されたことがある場合は、機密をローテーションさせて、さらなる再利用を回避します。

参考資料

https://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/01-Information_Gathering/05-Review_Web_Page_Content_for_Information_Leakage

プラグインの詳細

深刻度: High

ID: 114276

タイプ: remote

ファミリー: Data Exposure

公開日: 2024/5/6

更新日: 2024/5/6

スキャン テンプレート: api, basic, full, pci, scan

リスク情報

VPR

リスクファクター: Medium

スコア: 5.5

CVSS v2

リスクファクター: High

基本値: 7.8

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS スコアのソース: Tenable

CVSS v3

リスクファクター: High

基本値: 8.6

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

CVSS スコアのソース: Tenable

参照情報