CWE-1393

El producto utiliza contraseñas predeterminadas para funcionalidad potencialmente crítica.

Es una práctica común que los productos sean diseñados para usar contraseñas predeterminadas para la autenticación. La razón es simplificar el proceso de fabricación o la tarea del administrador del sistema en la instalación y despliegue dentro de una empresa. Sin embargo, si los administradores no cambian los valores predeterminados, entonces facilita que los atacantes eludan rápidamente la autenticación en múltiples organizaciones. Existen muchas listas de contraseñas predeterminadas y herramientas de escaneo de contraseñas predeterminadas que están fácilmente disponibles en la World Wide Web.

Consecuencias comunes

• Autenticación → Obtener Privilegios o Asumir Identidad

Mitigaciones

• Requisitos: Prohíba el uso de valores predeterminados, codificados de forma rígida (hard-coded) u otros valores que no varíen para cada instalación del producto, especialmente para organizaciones distintas.
• Documentación: Asegúrese de que la documentación del producto enfatice claramente la presencia de contraseñas predeterminadas y proporcione los pasos para que el administrador las cambie.
• Arquitectura y Diseño: Obligue al administrador a cambiar la credencial en el momento de la instalación.
• Instalación, Operación: El administrador del producto podría cambiar los valores predeterminados en el momento de la instalación o durante la operación.