CWE-200 信息暴露 类漏洞列表 2811

CWE：CWE-200 向未授权主体（Unauthorized Actor）暴露敏感信息 英文：产品向未明确授权访问该信息的主体（Actor）暴露了敏感信息。 导致信息暴露（Information Exposures）的错误种类繁多。错误的严重程度差异很大，具体取决于产品运行的上下文、所泄露的敏感信息类型以及其可能为攻击者带来的收益。某些类型的敏感信息包括： * 私人、个人信息，例如个人消息、财务数据、健康记录、地理位置或联系方式 * 系统状态和环境，例如操作系统和已安装的软件包 * 商业机密和知识产权 * 网络状态和配置 * 产品自身的代码或内部状态 * 元数据（Metadata），例如连接日志或消息头 * 间接信息，例如外部人员可观察到的两个内部操作之间的差异 信息对不同方而言可能具有敏感性，各方对于信息是否应受到保护可能有各自的期望。这些方包括： * 产品自身的用户 * 其信息由产品创建或使用的个人或组织，即使他们不是产品的直接用户 * 产品的管理员，包括产品所运行的系统（Systems）和/或网络的管理员 * 开发者 信息暴露可以通过不同方式发生： * 代码显式地将敏感信息插入到资源或消息中，这些资源或消息有意对未授权主体（Unauthorized Actors）可访问，但不应包含该信息——即，该信息本应被“清除”（Scrubbed）或“消毒”（Sanitized）。 * 不同的弱点或错误间接地将敏感信息插入到资源中，例如 Web 脚本错误揭示了程序的完整系统路径。 * 代码管理包含敏感信息的资源，但这些资源无意中对未授权主体（Unauthorized Actors）可访问。在这种情况下，信息暴露是结果性的——即，不同的弱点首先使得对该信息的访问成为可能。 将任何机密性（Confidentiality）丧失描述为“信息暴露”是常见做法，但这可能导致在 CWE 映射中过度使用 CWE-200。从 CWE 的角度来看，机密性丧失是一种技术影响，可能由数十种不同的弱点引起，例如不安全的文件权限或越界读取（Out-of-bounds Read）。CWE-200 及其低层级后代旨在涵盖在显式管理、存储、传输或清理敏感信息的行为中发生的错误。