Fortify隐私违规问题

以下代码正在被强化为“隐私侵犯”类别的漏洞问题。Fortify隐私违规问题

sbfOut.append(" validateSSN(document.form1." + name 
        + ",\" \",\" \")' " + override + "; >"); 
      out.println(sbfOut.toString()); 
     } // SN end 
     else if (fieldType.equals(CoConstants.DE_ELEMENT_TYPE_TN

在另一种方法中，我强化了将下面的代码块标识为“隐私违规”类别的漏洞问题。

sbfOut.append(" <OPTION VALUE='0'>-NO DATA-</OPTION>"); 
     try { 
      out.println(sbfOut.toString()); 
     } catch (IOException ioe) { 
      debug("Exception In coCustomTag" + ioe

我无法弄清楚如何解决这个问题以及问题的具体位置。确切的消息强化给出：CoCustomTag.java中methodName（）方法处理机密信息时可能会损害用户隐私，并且通常是非法的。 请忽略开放的大括号和全部，因为我只在这里提供了由fortify标识的部分代码。

来源

2017-08-02 smruti ranjan

我不得不猜测，但你是否有机会记录数据，如姓名等？我不知道强化，但“隐私侵犯”似乎暗示将个人数据（如姓名）写入更加永久的存储（如日志文件）。 – Thomas

@Thomas here out.println（sbfOut.toString（））;是出现在这两个部分，出了类型“JSPWriter” –

如果在创建您的第一个代码段HTML输出和name可以由用户（例如，通过重写URL）来改变，那么这是一个cross-site scripting (XSS)漏洞问题：设置name到," "," ");alert("Hi");//可能会导致弹出一个警报框。

来源

2017-08-02 13:49:23 howlger

感谢您的解释。但是，请你解释一下隐私侵犯问题。是否由于“out.println（sbfOut.toString（））;”在这两种情况下。 FYI在这里是“JSPWriter” –

正是这些是从外部可修改的文本变成HTML输出的地方：'out.println（text_modifiable_from_outside）' – howlger

我被困扰了大概3天或更长时间，Google可以得到任何线索，直到我查找Audit Workbench（Fortify）左下方的堆栈跟踪，堆栈跟踪的顶部表明我的问题是通过“解密（...）”方法提出，不管信不信，当我重命名该方法时，问题就消失了。

来源

2017-12-27 02:14:41

Fortify隐私违规问题

回答

相关问题