CWE一覧に戻る
CWE-1393

デフォルトパスワードの使用

Use of Default Password
脆弱性 作成中
JA

この製品は、潜在的に重要な機能に対してデフォルトのパスワードを使用しています。

認証にデフォルト・パスワードを使用するように設計されている製品は、よく見受けられます。
認証にデフォルト・パスワードを使用するように設計されている。 その理由は
製造プロセスやシステム管理者の作業を簡素化するためである。
を簡略化するためである。
を簡素化するためである。しかし、管理者がデフォルトを変更しない場合、攻撃者が素早く迂回しやすくなる、
攻撃者が複数の組織にまたがって認証をバイパスすることが容易になる。
認証の迂回が容易になる。多くの
デフォルト・パスワードのリストとデフォルト・パスワード・スキャン・ツール
がたくさんある。

EN

The product uses default passwords for potentially critical functionality.

It is common practice for products to be designed to use
default passwords for authentication. The rationale is to
simplify the manufacturing process or the system
administrator's task of installation and deployment into an
enterprise. However, if admins do not change the defaults,
then it makes it easier for attackers to quickly bypass
authentication across multiple organizations. There are many
lists of default passwords and default-password scanning tools
that are easily available from the World Wide Web.

Scope: Authentication / Impact: Gain Privileges or Assume Identity
Prohibit use of default, hard-coded, or other values that do not vary for each installation of the product - especially for separate organizations.
Ensure that product documentation clearly emphasizes the presence of default passwords and provides steps for the administrator to change them.
Force the administrator to change the credential upon installation.
The product administrator could change the defaults upon installation or during operation.
MITRE公式ページ — CWE-1393