CWE-406 Classe Incomplet

Insufficient Control of Network Message Volume (Network Amplification)

This vulnerability occurs when a system fails to properly limit the amount of network traffic it can generate in response to a request, allowing an attacker to abuse it to send a disproportionately…

Définition

What is CWE-406?

Without clear limits on how much traffic a single user or request can trigger, a system cannot tell the difference between normal operations and an attack designed to amplify traffic. Attackers exploit this by sending small, seemingly innocent requests that force the system to generate massive, overwhelming responses. This turns the vulnerable application into an unwitting participant in a denial-of-service attack against other targets. To prevent this, systems need a defined resource policy that tracks and caps outgoing transmissions based on client identity, privilege, or request type. Implementing such controls—like rate limiting, traffic quotas, or monitoring for abnormal response sizes—ensures that no single entity can commandeer your network resources to launch an amplified attack.

Impact réel

Real-world CVEs caused by CWE-406

CVE-1999-0513

Classic "Smurf" attack, using spoofed ICMP packets to broadcast addresses.
CVE-1999-1379

DNS query with spoofed source address causes more traffic to be returned to spoofed address than was sent by the attacker.
CVE-2000-0041

Large datagrams are sent in response to malformed datagrams.
CVE-1999-1066

Game server sends a large amount.
CVE-2013-5211

composite: NTP feature generates large responses (high amplification factor) with spoofed UDP source addresses.

Comment les attaquants l'exploitent

Parcours de l'attaquant étape par étape

1
Identifier un chemin de code qui traite des entrées non fiables sans validation.
2
Élaborer une charge utile qui exploite le comportement non sécurisé — injection, traversal, débordement ou abus de logique.
3
Délivrer la charge utile via une requête normale et observer la réaction de l'application.
4
Itérer jusqu'à ce que la réponse divulgue des données, exécute le code de l'attaquant ou élève les privilèges.

Exemple de code vulnérable

Vulnerable Python

This code listens on a port for DNS requests and sends the result to the requesting address.

Vulnérable Python

sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
  sock.bind( (UDP_IP,UDP_PORT) )
  while true:
  		data = sock.recvfrom(1024)
  		if not data:
  			break
  		(requestIP, nameToResolve) = parseUDPpacket(data)
  		record = resolveName(nameToResolve)
  		sendResponse(requestIP,record)

Exemple de code sécurisé

Secure pseudo

Sécurisé pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Liste de contrôle de prévention

How to prevent CWE-406

Architecture and Design An application must make network resources available to a client commensurate with the client's access level.
Policy Define a clear policy for network resource allocation and consumption.
Implementation An application must, at all times, keep track of network resources and meter their usage appropriately.

Signaux de détection

How to detect CWE-406

SAST High

Exécuter une analyse statique (SAST) sur le code source à la recherche du motif non sécurisé dans le flux de données.

DAST Moderate

Exécuter des tests de sécurité applicative dynamique (DAST) contre le point de terminaison en ligne.

Runtime Moderate

Surveiller les journaux runtime pour détecter des traces d'exception inhabituelles, des entrées malformées ou des tentatives de contournement d'autorisation.

Code review Moderate

Revue de code : signaler tout nouveau code qui traite les entrées de cette surface sans utiliser les helpers du framework validés.

Correction automatique Plexicus

Plexicus détecte automatiquement CWE-406 et ouvre une PR de correction en moins de 60 secondes.

Codex Remedium analyse chaque commit, identifie cette faiblesse précise et livre une pull request prête à être relue avec le correctif. Pas de tickets. Pas de transferts.

Obtenir une démo Essayer Plexicus gratuitement

Questions fréquentes

Frequently asked questions

Qu'est-ce que CWE-406 ?

Quelle est la gravité de CWE-406 ?

MITRE n'a pas publié de note de probabilité d'exploitation pour cette faiblesse. Traitez-la comme un impact moyen jusqu'à ce que votre modèle de menace prouve le contraire.

Quels langages ou plateformes sont affectés par CWE-406 ?

MITRE n'a pas spécifié les plateformes affectées pour ce CWE — il peut s'appliquer à la plupart des stacks applicatives.

Comment puis-je prévenir CWE-406 ?

An application must make network resources available to a client commensurate with the client's access level. Define a clear policy for network resource allocation and consumption.

Comment Plexicus détecte et corrige CWE-406 ?

Le moteur SAST de Plexicus reconnaît la signature de flux de données de CWE-406 à chaque commit. Lorsqu'une correspondance est trouvée, notre agent Codex Remedium ouvre une PR de correction avec le code corrigé, les tests et un résumé d'une ligne pour le relecteur.

Où puis-je en savoir plus sur CWE-406 ?

MITRE publie la définition canonique à https://cwe.mitre.org/data/definitions/406.html. Vous pouvez également consulter la documentation OWASP et NIST pour des conseils adjacents.

Faiblesses associées

Weaknesses related to CWE-406

CWE-405 Parent

Asymmetric Resource Consumption (Amplification)

This vulnerability occurs when a system allows an attacker to trigger a disproportionate amount of resource consumption—like CPU, memory,…

CWE-1050 Frère

Excessive Platform Resource Consumption within a Loop

This vulnerability occurs when a loop contains code that repeatedly consumes critical system resources like file handles, database…

CWE-1072 Frère

Data Resource Access without Use of Connection Pooling

This weakness occurs when an application creates a new database connection for every request instead of using a managed connection pool.…

CWE-1073 Frère

Non-SQL Invokable Control Element with Excessive Number of Data Resource Accesses

This weakness occurs when a client-side function or method makes an excessive number of individual data requests through a non-SQL data…

CWE-1084 Frère

Invokable Control Element with Excessive File or Data Access Operations

This weakness occurs when a single function or method performs an excessive number of file or database operations, such as repeated reads,…

CWE-1089 Frère

Large Data Table with Excessive Number of Indices

This weakness occurs when an application uses a database table with a very large number of rows and creates too many indexes on it,…

CWE-1094 Frère

Excessive Index Range Scan for a Data Resource

This weakness occurs when a database query performs an index range scan that can access an unnecessarily large number of rows from a…

CWE-1176 Frère

Inefficient CPU Computation

This weakness occurs when software uses inefficient algorithms or suboptimal CPU operations, performing unnecessary or overly complex…

CWE-407 Frère

Inefficient Algorithmic Complexity

This vulnerability occurs when a software component uses an algorithm with poor worst-case performance. An attacker can exploit this by…

Ressources

Arrêtez de payer par développeur.
Commencez à fermer la boucle.

Plexicus est l'ASPM natif IA qui scanne, filtre, corrige, penteste et explique — de façon autonome. Développeurs illimités, dépôts illimités, actions IA à usage équitable. Vrai niveau gratuit, €269/mo annuel quand vous êtes prêt.

Commencer gratuitement Réserver une démo