A03:2021 - Injection

Deskripsi

Kerentanan muncul ketika data yang tidak terpercaya dikirimkan ke interpreter, yang dapat menyebabkan eksekusi perintah yang tidak diinginkan. Kerentanan disebabkan antara lain:

• Kurangnya validasi input
• Sanitasi data yang tidak cukup
• Penggunaan metode pengolahan data yang tidak aman
• Kueri secara dinamis atau permintaan yang tidak diberikan parameter tanpa konteks-peringatan pengalihan

Dampak

Penyerang bisa menyisipkan kode berbahaya yang akan dijalankan oleh sistem secara ilegal. Kebocoran data sensitif. Kerusakan sistem dan data Kerugian Finansial Kerusakan reputasi Konsekuensi hukum dan kepatuhan

Mitigasi

• Penyimpanan data terpisah dari perintah dan query.

• Menggunakan API yang aman yang mencegah penggunaan mesin penerjemah secara keseluruhan, menyediakan sebuah tatap muka berparameter, atau migrasi ke perangkat pemetaan relasi objek.
  

• Menggunakan daftar (whitelist) pada validasi input di sisi server.

• Menerapkan validasi  dan sanitasi terhadap input pengguna.
  

• Menggunakan LIMIT dan kontrol SQL lainnya di antara query untuk mencegah terungkapnya data jika terjadi injection.

• Melakukan pengujian keamanan