CWE-506

O produto contém código que parece ser de natureza maliciosa.

Falhas maliciosas adquiriram nomes pitorescos, incluindo cavalo de Troia (Trojan horse), trapdoor, timebomb e logic-bomb. Um desenvolvedor pode inserir código malicioso com a intenção de subverter a segurança de um produto ou de seu sistema hospedeiro em algum momento no futuro. Geralmente refere-se a um programa que realiza um serviço útil, mas explora os direitos do usuário do programa de uma forma que o usuário não pretende.

Consequências comuns

• Confidencialidade, Integridade, Disponibilidade → Executar Código ou Comandos Não Autorizados

Mitigações

• Implementação, Operação: Remova o código malicioso e inicie um esforço para garantir que não exista mais código malicioso. Isso pode exigir uma revisão detalhada de todo o código, pois é possível ocultar um ataque grave em apenas uma ou duas linhas de código. Essas linhas podem estar localizadas em quase qualquer lugar de uma aplicação e podem ter sido intencionalmente ofuscadas pelo atacante.