CWE-128 Base Incomplete Medium likelihood

Wrap-around Error

A wrap-around error happens when a variable exceeds the maximum value its data type can hold, causing it to unexpectedly reset to a very small, negative, or undefined number instead of increasing…

Definition

What is CWE-128?

A wrap-around error happens when a variable exceeds the maximum value its data type can hold, causing it to unexpectedly reset to a very small, negative, or undefined number instead of increasing further.

This flaw, often called integer overflow or wraparound, is common in operations like counters, loops, or memory allocation where a value is repeatedly incremented. Developers might assume a number will simply stop increasing, but in languages like C or C++, it silently cycles back to the minimum, leading to crashes, incorrect calculations, or security vulnerabilities like buffer overflows. Detecting these errors manually is tricky because they depend on specific data types and runtime values. While SAST tools can flag risky code patterns, Plexicus uses AI to not only identify the risk but also suggest the precise code fix—such as using larger data types or boundary checks—automating remediation and saving hours of manual review across your application portfolio.

Auswirkungen in der Praxis

Real-world CVEs caused by CWE-128

Bisher sind in MITREs Katalog keine öffentlichen CVE-Referenzen mit dieser CWE verknüpft.

Wie Angreifer es ausnutzen

Angreiferpfad Schritt für Schritt

1
Identifiziere einen Codepfad, der nicht vertrauenswürdige Eingaben ohne Validierung verarbeitet.
2
Erzeuge eine Payload, die das unsichere Verhalten auslöst — Injection, Traversal, Overflow oder Logik-Missbrauch.
3
Liefere die Payload über einen normalen Request aus und beobachte die Reaktion der Anwendung.
4
Iteriere, bis die Antwort Daten preisgibt, Angreifer-Code ausführt oder Berechtigungen eskaliert.

Verwundbares Codebeispiel

Vulnerable C

The following image processing code allocates a table for images.

Verwundbar C

img_t table_ptr; /*struct containing img data, 10kB each*/
  int num_imgs;
  ...
  num_imgs = get_num_imgs();
  table_ptr = (img_t*)malloc(sizeof(img_t)*num_imgs);
  ...

Sicheres Codebeispiel

Secure pseudo

Sicher pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Präventions-Checkliste

How to prevent CWE-128

Requirements specification: The choice could be made to use a language that is not susceptible to these issues.
Architecture and Design Provide clear upper and lower bounds on the scale of any protocols designed.
Implementation Perform validation on all incremented variables to ensure that they remain within reasonable bounds.

Erkennungssignale

How to detect CWE-128

SAST High

Führe statische Analyse (SAST) auf der Codebasis aus und suche im Datenfluss nach dem unsicheren Muster.

DAST Moderate

Führe dynamische Application-Security-Tests gegen den Live-Endpoint aus.

Runtime Moderate

Beobachte Runtime-Logs auf ungewöhnliche Exception-Traces, fehlerhafte Eingaben oder Versuche, Autorisierung zu umgehen.

Code review Moderate

Code Review: Markiere jeden neuen Code, der Eingaben von dieser Oberfläche ohne validierte Framework-Helper verarbeitet.

CWE-128

Don't catalog this weakness. Prove it's reachable.

Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.

Request AI Swarm Pentest

Häufig gestellte Fragen

Frequently asked questions

Was ist CWE-128?

Wie gravierend ist CWE-128?

MITRE stuft die Exploit-Wahrscheinlichkeit als mittel ein — eine Ausnutzung ist realistisch, erfordert aber meist bestimmte Bedingungen.

Welche Sprachen oder Plattformen sind von CWE-128 betroffen?

MITRE lists the following affected platforms: C, C++.

Wie kann ich CWE-128 verhindern?

Requirements specification: The choice could be made to use a language that is not susceptible to these issues. Provide clear upper and lower bounds on the scale of any protocols designed.

Wie erkennt und behebt Plexicus CWE-128?

Die SAST-Engine von Plexicus erkennt die Datenfluss-Signatur von CWE-128 bei jedem Commit. Bei einem Treffer öffnet unser Codex-Remedium-Agent einen Fix-PR mit korrigiertem Code, Tests und einer einzeiligen Zusammenfassung für den Reviewer.

Wo erfahre ich mehr über CWE-128?

MITRE veröffentlicht die kanonische Definition unter https://cwe.mitre.org/data/definitions/128.html. Für ergänzende Hinweise kannst du auch die OWASP- und NIST-Dokumentation heranziehen.

Verwandte Schwachstellen

Weaknesses related to CWE-128

CWE-682 Parent

Bereit zu validieren, was zählt.

Plexicus ist Proof-Driven AppSec: validierte Funde, kontextuelles Verständnis und geprüfte Remediation — in Evidenz verankert, mit Ihnen gescoped.

Pentest buchen

Wrap-around Error

What is CWE-128?

Real-world CVEs caused by CWE-128

Angreiferpfad Schritt für Schritt

Vulnerable C

Secure pseudo

How to prevent CWE-128

How to detect CWE-128

Don't catalog this weakness. Prove it's reachable.

Frequently asked questions

Weaknesses related to CWE-128

Incorrect Calculation

Incorrect Calculation of Buffer Size

Incorrect Bitwise Shift of Integer

Insufficient Precision or Accuracy of a Real Number

Incorrect Calculation of Multi-Byte String Length

Integer Overflow or Wraparound

Integer Underflow (Wrap or Wraparound)

Off-by-one Error

Divide By Zero

Further reading

Bereit zu validieren, was zählt.

Prüfen Sie, ob AI Swarm Pentest zu Ihrer Umgebung passt.

Anfrage erhalten. Nächsten Schritt buchen.

Sample evidence handover

Server-Side Request Forgery in `webhooks/receiver`