Fortifyプライバシー違反の問題

以下のコードは、「プライバシー侵害」カテゴリの脆弱性の問題として強化されています。Fortifyプライバシー違反の問題

sbfOut.append(" validateSSN(document.form1." + name 
        + ",\" \",\" \")' " + override + "; >"); 
      out.println(sbfOut.toString()); 
     } // SN end 
     else if (fieldType.equals(CoConstants.DE_ELEMENT_TYPE_TN

私は、以下のコードブロックが「プライバシー違反」カテゴリの脆弱性の問題であると特定しました。

sbfOut.append(" <OPTION VALUE='0'>-NO DATA-</OPTION>"); 
     try { 
      out.println(sbfOut.toString()); 
     } catch (IOException ioe) { 
      debug("Exception In coCustomTag" + ioe

これを修正する方法と正確に問題がどこにあるかわかりません。正確なメッセージfortifyは次のように指定しています。CoCustomTag.javaのmethodName（）メソッドは、機密情報を誤って処理するため、ユーザーのプライバシーを侵害することがあります。 中括弧を無視してください。ここでは、fortifyによって識別されたコードの部分だけを示しています。

出典

2017-08-02 smruti ranjan

私は推測しなければならないでしょうが、名前などのログデータを何時でもやりますか？私は要塞化しているのではないが、「プライバシー違反」は、名前などの個人データをログファイルなどのより永続的なストレージに書き込むことを示唆しているようだ。 – Thomas

@Thomas here out.println（sbfOut.toString（））;両方の部分に存在し、outは "JSPWriter"タイプです –

作成され、nameが、これはcross-site scripting (XSS)脆弱性の問題です（URLを書き換えることにより）、ユーザによって変更することができ、あなたの最初のコードスニペットのHTML出力の場合：," "," ");alert("Hi");//にnameを設定すると、ポップアップ原因となります警告ボックス。

出典

2017-08-02 13:49:23 howlger

ありがとうございました。しかし、ここでプライバシー違反の問題がどこにあるのかを教えてください。それは "out.println（sbfOut.toString（））;"両方の場合において。ここでFYIは "JSPWriter"タイプのものです –

正確には、これらは外部から変更可能なテキストがHTML出力になる場所です： 'out.println（text_modifiable_from_outside）' – howlger

Audit Workbench（Fortify）の左下にあるスタックトレースを検索するまで、私は得ることができる3日以上のGoogleの手がかりをGoogleに迷惑をかけました。メソッドを "decrypt（...）"して、それを信じるかどうか、メソッドの名前を変更すると問題は消えてしまいました。

出典

2017-12-27 02:14:41

Fortifyプライバシー違反の問題

答えて

関連する問題