Führe statische Analyse (SAST) auf der Codebasis aus und suche im Datenfluss nach dem unsicheren Muster.
CWE-13 Variant Draft
ASP.NET Misconfiguration: Password in Configuration File
This vulnerability occurs when an ASP.NET application stores passwords or other sensitive credentials in plaintext within configuration files like web.config. This exposes those credentials to…
Definition
What is CWE-13?
This vulnerability occurs when an ASP.NET application stores passwords or other sensitive credentials in plaintext within configuration files like web.config. This exposes those credentials to anyone with file system access, effectively bypassing security controls and granting unauthorized access to protected resources.
Configuration files such as web.config are often deployed alongside application code and may be readable by various system accounts or, in worst-case scenarios, accessible via web server misconfigurations. Storing secrets like database passwords, API keys, or service account credentials in these files creates a single point of failure. Attackers who can read the file—whether through directory traversal, compromised backups, or insider access—immediately gain the privileges associated with those credentials.
To prevent this, never store sensitive values in plaintext within configuration files. Instead, use secure alternatives like the ASP.NET built-in mechanisms for protecting configuration sections (e.g., `aspnet_regiis`), the Protected Configuration feature with RSA or DPAPI, or dedicated secret management services such as Azure Key Vault or HashiCorp Vault. For connection strings, consider using Integrated Windows Authentication where possible to eliminate password storage entirely.
Auswirkungen in der Praxis
Real-world CVEs caused by CWE-13
Bisher sind in MITREs Katalog keine öffentlichen CVE-Referenzen mit dieser CWE verknüpft.
Wie Angreifer es ausnutzen
Angreiferpfad Schritt für Schritt
- 1
Identifiziere einen Codepfad, der nicht vertrauenswürdige Eingaben ohne Validierung verarbeitet.
- 2
Erzeuge eine Payload, die das unsichere Verhalten auslöst — Injection, Traversal, Overflow oder Logik-Missbrauch.
- 3
Liefere die Payload über einen normalen Request aus und beobachte die Reaktion der Anwendung.
- 4
Iteriere, bis die Antwort Daten preisgibt, Angreifer-Code ausführt oder Berechtigungen eskaliert.
Verwundbares Codebeispiel
Vulnerable ASP.NET
The following example shows a portion of a configuration file for an ASP.Net application. This configuration file includes username and password information for a connection to a database, but the pair is stored in plaintext.
...
<connectionStrings>
<add name="ud_DEV" connectionString="connectDB=uDB; uid=db2admin; pwd=password; dbalias=uDB;" providerName="System.Data.Odbc" />
</connectionStrings>
... Sicheres Codebeispiel
Secure pseudo
// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
const safe = validateAndEscape(input);
return executeWithGuards(safe);
} What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.
Präventions-Checkliste
How to prevent CWE-13
- Implementation Credentials stored in configuration files should be encrypted, Use standard APIs and industry accepted algorithms to encrypt the credentials stored in configuration files.
Erkennungssignale
How to detect CWE-13
Führe dynamische Application-Security-Tests gegen den Live-Endpoint aus.
Beobachte Runtime-Logs auf ungewöhnliche Exception-Traces, fehlerhafte Eingaben oder Versuche, Autorisierung zu umgehen.
Code Review: Markiere jeden neuen Code, der Eingaben von dieser Oberfläche ohne validierte Framework-Helper verarbeitet.
CWE-13
Don't catalog this weakness. Prove it's reachable.
Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.
Häufig gestellte Fragen Was ist CWE-13?
Wie gravierend ist CWE-13?
Welche Sprachen oder Plattformen sind von CWE-13 betroffen?
Wie kann ich CWE-13 verhindern?
Wie erkennt und behebt Plexicus CWE-13?
Wo erfahre ich mehr über CWE-13?
Frequently asked questions
Was ist CWE-13?
This vulnerability occurs when an ASP.NET application stores passwords or other sensitive credentials in plaintext within configuration files like web.config. This exposes those credentials to anyone with file system access, effectively bypassing security controls and granting unauthorized access to protected resources.
Wie gravierend ist CWE-13?
MITRE hat für diese Schwachstelle keine Exploit-Wahrscheinlichkeit veröffentlicht. Behandle sie als mittlere Auswirkung, bis dein Threat Model anderes belegt.
Welche Sprachen oder Plattformen sind von CWE-13 betroffen?
MITRE hat für diese CWE keine betroffenen Plattformen spezifiziert — sie kann in den meisten Anwendungs-Stacks auftreten.
Wie kann ich CWE-13 verhindern?
Credentials stored in configuration files should be encrypted, Use standard APIs and industry accepted algorithms to encrypt the credentials stored in configuration files.
Wie erkennt und behebt Plexicus CWE-13?
Die SAST-Engine von Plexicus erkennt die Datenfluss-Signatur von CWE-13 bei jedem Commit. Bei einem Treffer öffnet unser Codex-Remedium-Agent einen Fix-PR mit korrigiertem Code, Tests und einer einzeiligen Zusammenfassung für den Reviewer.
Wo erfahre ich mehr über CWE-13?
MITRE veröffentlicht die kanonische Definition unter https://cwe.mitre.org/data/definitions/13.html. Für ergänzende Hinweise kannst du auch die OWASP- und NIST-Dokumentation heranziehen.
Verwandte Schwachstellen
Weaknesses related to CWE-13
CWE-260 Parent
Password in Configuration File
This vulnerability occurs when an application stores sensitive passwords directly within a configuration file, making them easily readable…
CWE-258 Sibling
Empty Password in Configuration File
This vulnerability occurs when a configuration file, script, or application uses an empty string as a password, effectively disabling…
CWE-555 Sibling
J2EE Misconfiguration: Plaintext Password in Configuration File
A J2EE application insecurely stores an unprotected password within a configuration file.
Ressourcen
Further reading
- MITRE — offizielle CWE-13 https://cwe.mitre.org/data/definitions/13.html
- Seven Pernicious Kingdoms: A Taxonomy of Software Security Errors https://samate.nist.gov/SSATTM_Content/papers/Seven%20Pernicious%20Kingdoms%20-%20Taxonomy%20of%20Sw%20Security%20Errors%20-%20Tsipenyuk%20-%20Chess%20-%20McGraw.pdf
- How To: Encrypt Configuration Sections in ASP.NET 2.0 Using DPAPI https://learn.microsoft.com/en-us/previous-versions/msp-n-p/ff647398(v=pandp.10)?redirectedfrom=MSDN
- How To: Encrypt Configuration Sections in ASP.NET 2.0 Using RSA https://learn.microsoft.com/en-us/previous-versions/msp-n-p/ff650304(v=pandp.10)?redirectedfrom=MSDN
- .NET Framework Developer's Guide - Securing Connection Strings http://msdn.microsoft.com/en-us/library/89211k9b(VS.80).aspx
Bereit, das Wesentliche zu validieren?
Bereit zu validieren, was zählt.
Plexicus ist Proof-Driven AppSec: validierte Funde, kontextuelles Verständnis und geprüfte Remediation — in Evidenz verankert, mit Ihnen gescoped.