CWE-1393

O produto usa senhas padrão para funcionalidades potencialmente críticas.

É prática comum que produtos sejam projetados para usar senhas padrão na autenticação. A justificativa é simplificar o processo de fabricação ou a tarefa do administrador do sistema de instalação e implantação em uma empresa. No entanto, se os administradores não alterarem os padrões, isso facilita para os atacantes contornarem rapidamente a autenticação em múltiplas organizações. Existem muitas listas de senhas padrão e ferramentas de varredura de senhas padrão que estão facilmente disponíveis na World Wide Web.

Consequências comuns

• Autenticação → Obter Privilégios ou Assumir Identidade

Mitigações

• Requisitos: Proíba o uso de valores padrão, embutidos no código (hard-coded) ou outros valores que não variem a cada instalação do produto - especialmente para organizações distintas.
• Documentação: Certifique-se de que a documentação do produto enfatize claramente a presença de senhas padrão e forneça passos para o administrador alterá-las.
• Arquitetura e Projeto: Force o administrador a alterar a credencial na instalação.
• Instalação, Operação: O administrador do produto poderia alterar os padrões na instalação ou durante a operação.