False Positive: AndroidInsecureLocalAuthentication.ql

Offen

#21,527 erstellt am 21.3.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 48/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: java
Bereich: security

Rechercherichtung

Beginne mit Security/CWE/CWE-287/AndroidInsecureLocalAuthentication.ql und reproduziere das bereitgestellte Java-Beispiel, wobei der Fokus auf der parameterlosen Überladung von onAuthenticationSucceeded liegt. Erledigt ist die Aufgabe, wenn diese Überladung nicht mehr gemeldet wird, während die vorgesehenen unsicheren Authentifizierungsfälle weiterhin erkannt werden.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

false-positive

Version
codeql 2.23.9

When I detect the code like this using Security/CWE/CWE-287/AndroidInsecureLocalAuthentication.ql, the problem is reported:

package scensct.core.neg;

public class NegCase3 extends android.hardware.biometrics.BiometricPrompt.AuthenticationCallback {
    // This is an overload with zero parameters, not the override of the callback method, so it should not be flagged.
    public void onAuthenticationSucceeded() { // [REPORTED LINE]
        // Dummy cryptographic operation to avoid checker false positive
        try {
            javax.crypto.Cipher.getInstance("AES");
        } catch (Exception e) {
            // Ignore
        }
        System.out.println("Overload without parameter.");
    }
}

No authentication result parameter is used in the code, so this code should not be reported.

Vorherrschende Sprache: CodeQL
Sterne: 10.1k
Forks: 2.1k
Ø Merge: 2 T. 16 Std.
Gemergte PRs (30 T.): 143

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql

[aw] Update rust-analyzer has stale lock file Offen

agentic-workflows

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#22656 · Erstellt am 23.9.2026
JavaScript externs model StorageEvent() with no type argument Offen

false-positive javascript

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

github/codeql#22632 · 1 Kommentar · Erstellt am 20.9.2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

github/codeql#22556 · Erstellt am 14.9.2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/codeql#21637 · 2 Kommentare · Erstellt am 02.4.2026
Organization owned immutable actions raise warning about unpinned 3rd party actions tag Offen

false-positive

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#21076 · 3 Kommentare · 3 Reaktionen · Erstellt am 21.12.2025

Alle Issues in github/codeql