Fortify隱私違規問題

以下代碼正在被強化爲「隱私侵犯」類別的漏洞問題。Fortify隱私違規問題

sbfOut.append(" validateSSN(document.form1." + name 
        + ",\" \",\" \")' " + override + "; >"); 
      out.println(sbfOut.toString()); 
     } // SN end 
     else if (fieldType.equals(CoConstants.DE_ELEMENT_TYPE_TN

在另一種方法中，我強化了將下面的代碼塊標識爲「隱私違規」類別的漏洞問題。

sbfOut.append(" <OPTION VALUE='0'>-NO DATA-</OPTION>"); 
     try { 
      out.println(sbfOut.toString()); 
     } catch (IOException ioe) { 
      debug("Exception In coCustomTag" + ioe

我無法弄清楚如何解決這個問題以及問題的具體位置。確切的消息強化給出：CoCustomTag.java中methodName（）方法處理機密信息時可能會損害用戶隱私，並且通常是非法的。 請忽略開放的大括號和全部，因爲我只在這裏提供了由fortify標識的部分代碼。

來源

2017-08-02 smruti ranjan

我不得不猜測，但你是否有機會記錄數據，如姓名等？我不知道強化，但「隱私侵犯」似乎暗示將個人數據（如姓名）寫入更加永久的存儲（如日誌文件）。 – Thomas

@Thomas here out.println（sbfOut.toString（））;是出現在這兩個部分，出了類型「JSPWriter」 –

如果在創建您的第一個代碼段HTML輸出和name可以由用戶（例如，通過重寫URL）來改變，那麼這是一個cross-site scripting (XSS)漏洞問題：設置name到," "," ");alert("Hi");//可能會導致彈出一個警報框。

來源

2017-08-02 13:49:23 howlger

感謝您的解釋。但是，請你解釋一下隱私侵犯問題。是否由於「out.println（sbfOut.toString（））;」在這兩種情況下。 FYI在這裏是「JSPWriter」 –

正是這些是從外部可修改的文本變成HTML輸出的地方：'out.println（text_modifiable_from_outside）' – howlger

我被困擾了大概3天或更長時間，Google可以得到任何線索，直到我查找Audit Workbench（Fortify）左下方的堆棧跟蹤，堆棧跟蹤的頂部表明我的問題是通過「解密（...）」方法提出，不管信不信，當我重命名該方法時，問題就消失了。

來源

2017-12-27 02:14:41

Fortify隱私違規問題

回答

相關問題