14-16 Mar 2026
Voltar ao catalogo

HealthChecks expoe exceptions com fragmentos de connection string

MED-04-EXP
MediumAchado ConfirmadoSegurancaRodada 4

Descricao

Os health checks registrados retornam exceptions brutas incluindo fragmentos de connection strings e nomes de servidores internos no payload de resposta.

Evidencia
`aspnet-core/src/cargo_fleet.HttpApi.Host/HealthChecks/HealthChecksBuilderExtensions.cs` — health checks retornam exceptions com dados sensiveis.
Impacto Tecnico

O endpoint /health-status sem autenticacao (ver MED-04) expoe informacoes internas de topologia ao retornar erros de conexao.

Impacto de Negocio

Exposicao de informacoes internas de infraestrutura para atacantes.

Recomendacao

Configurar o health check publisher para ocultar exception details em producao. Retornar apenas Healthy/Unhealthy/Degraded.

Arquivos Afetados

aspnet-core/src/cargo_fleet.HttpApi.Host/HealthChecks/HealthChecksBuilderExtensions.cs

Achados Relacionados

Acoes Relacionadas

{
  "id": "MED-04-EXP",
  "title": "HealthChecks expoe exceptions com fragmentos de connection string",
  "severity": "Medium",
  "type": "achado confirmado",
  "category": "security",
  "description": "Os health checks registrados retornam exceptions brutas incluindo fragmentos de connection strings e nomes de servidores internos no payload de resposta.",
  "evidence": "`aspnet-core/src/cargo_fleet.HttpApi.Host/HealthChecks/HealthChecksBuilderExtensions.cs` — health checks retornam exceptions com dados sensiveis.",
  "technicalImpact": "O endpoint `/health-status` sem autenticacao (ver MED-04) expoe informacoes internas de topologia ao retornar erros de conexao.",
  "businessImpact": "Exposicao de informacoes internas de infraestrutura para atacantes.",
  "recommendation": "Configurar o health check publisher para ocultar exception details em producao. Retornar apenas `Healthy`/`Unhealthy`/`Degraded`.",
  "files": [
    "aspnet-core/src/cargo_fleet.HttpApi.Host/HealthChecks/HealthChecksBuilderExtensions.cs"
  ],
  "pass": 4,
  "relatedActions": [
    "ACT-7.3.8"
  ],
  "relatedFindings": [
    "MED-04"
  ]
}