설명#

민감한 정보 노출 검사입니다. 신용카드 번호, 의료 기록, 개인 정보 등이 포함됩니다.

해결 방법#

민감한 정보 유출은 애플리케이션이 사용자별 민감 데이터를 드러내는 애플리케이션 취약점입니다. 민감한 데이터는 공격자가 사용자를 악용하는 데 쓰일 수 있으므로, 민감한 데이터의 유출은 가능한 한 제한하거나 차단해야 합니다. 정보 유출은 가장 흔한 형태로 유효한 데이터와 유효하지 않은 데이터에 대한 페이지 응답의 차이에서 비롯됩니다.

데이터의 유효성에 따라 다른 응답을 제공하는 페이지도 정보 유출로 이어질 수 있으며, 특히 기밀로 분류되는 데이터가 웹 애플리케이션의 설계 때문에 드러날 때 그렇습니다. 민감한 데이터의 예로는 계좌 번호, 사용자 식별자(운전면허 번호, 여권 번호, 사회보장번호 등), 사용자별 정보(비밀번호, 세션, 주소) 등이 있으며 이에 한정되지 않습니다. 이 컨텍스트에서 정보 유출은 사용자에게조차 평문으로 노출되어서는 안 되는, 기밀 또는 비밀로 분류되는 핵심 사용자 데이터의 노출을 다룹니다. 신용카드 번호를 비롯해 규제가 엄격한 정보는 이미 적절한 암호화와 접근 제어가 적용되어 있더라도 노출과 유출로부터 추가로 보호해야 하는 사용자 데이터의 대표적인 예입니다.

링크#

• OWASP
• CWE