ARK. 1Słownik pojęćPodatności i klasy błędów
race condition
Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon.
TAB. 1Nazwapo angielsku
| Po angielsku | race condition |
|---|---|
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | sytuacja wyścigu (nie potwierdzono w źródłach) · warunek wyścigu (nie potwierdzono w źródłach) · TOCTOU (podtyp, nie synonim) |
| Odmiana | ten race condition, nieodmienny („przyczyną błędu był race condition”, „błąd typu race condition”, „atak Race Condition”); bez apostrofu |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „race condition” w tytule, treści i tagach; „O błędach typu race condition pisaliśmy już kilkukrotnie” (sekurak.pl) |
|---|---|
| Urząd i ustawa | wyłącznie w nazwie CWE-362: „Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')”; w polskim zdaniu bez tłumaczenia: „występuje Race Condition w endpoincie” (CERT Polska) |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „Wykorzystanie Race Condition, to metoda ataku polegająca na wykonaniu zapytania w czasie krótszym niż trwa weryfikacja warunków” | sekurak.pl |
| EN | „Okazało się, że przyczyną błędu był race condition w zarządzaniu sesjami.” | sekurak.pl |
| EN | „W oprogramowaniu Sparx Pro Cloud Server występuje Race Condition w endpoincie /data_api/dl_internal_artifact.php — „Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') (CWE-362)”” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| podatność wykorzystywana bez uwierzytelnienia | unauthenticated vulnerability | Luka, którą można wykorzystać bez posiadania konta i bez zalogowania się, przez co jest znacznie groźniejsza od luk wymagających uprawnień (opisywanych w skali Wordfence jako subscriber+ czy admin+). |
| prototype pollution | prototype pollution | Podatność specyficzna dla JavaScriptu: atakujący dopisuje właściwości do wspólnego prototypu obiektów (np. przez klucz __proto__ w scalanym JSON-ie), przez co zmienia zachowanie całej aplikacji — po stronie przeglądarki zwykle prowadzi do DOM XSS, w Node.js nawet do RCE. W WordPressie dotyczyła dołączanego jQuery: jQuery.extend() przed wersją 3.4.0 był podatny (CVE-2019-11358). |
| publicznie dostępne pliki wrażliwe | sensitive file exposure (.sql dumps, .env, .git) | Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy. |
| Reflected XSS | reflected XSS | Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link. |
| RFI (Remote File Inclusion) | remote file inclusion (RFI) | Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath. |
| security through obscurity | security through obscurity | Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków. |