[Security] API Secret Stored as Immutable String in Java
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 48/100
Direzione di ricerca
Inizia da clients/common/src/main/java/com/binance/connector/client/common/sign/HmacSignatureGenerator.java alla riga 10, poi esamina i chiamanti per capire come viene mantenuto e utilizzato il segreto dell'API. Riproduci il risultato con un heap dump come descritto ed esegui i test esistenti del progetto. Il lavoro è completato quando il segreto segue l'approccio indicato del buffer mutabile e dell'azzeramento esplicito, senza interrompere il comportamento della firma.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Bug Name
API Secret Stored as Immutable String in Java
Attack Scenario
Java String objects are immutable and cannot be zeroed from memory. The API secret remains in the JVM heap until garbage collection and may appear in heap dumps.
Impact
Low. Requires heap dump access. Relevant for compliance-sensitive environments.
Components
File: clients/common/src/main/java/com/binance/connector/client/common/sign/HmacSignatureGenerator.java line 10. private final String apiSecret.
Reproduction
- Take a heap dump of a running Java application using the connector.
- Search for API secret string in the heap dump.
- Secret is present and readable.
Fix
Use char[] or byte[] that can be explicitly zeroed after use, following Java security best practices.
Details
Finding ID: LOW-02
Severity: Low
Researcher: Independent Security Researcher -- Mefai Security Team
- Lingua principale
- Java
- Stelle
- 579
- Fork
- 257
- Merge medio
- 25m
- PR unite (30g)
- 2
Preparare l'ambiente
Non abbiamo ancora controllato i file di configurazione di questo progetto. Parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di binance/binance-connector-java
-
Jetty versionAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 64/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
-
java 8 have version issue?Aperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 48/100
binance/binance-connector-java#239 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 55/100
Tutte le issue di binance/binance-connector-java
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
redhat-developer/intellij-quarkus#1626 ·
-
Type/Bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
wso2/product-integrator-mi#5061 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
quarkiverse/quarkus-roq#1277 ·
I maintainer di solito rispondono entro 1 giorno
-
Typos in page footerAperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100
apache/logging-site#48 ·
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
apache/maven-surefire#3496 · 3 commenti ·
I maintainer di solito rispondono entro 1 giorno