Clarification: 1.5.2 "insecure"

オープン
  • 何か問題がありますか？
#3,247 コメント 2 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
35/100
issue の種類
ドキュメント
明瞭さ
説明が足りない
活発さ
停滞
領域
documentation, security

調査の方向性

まず、ASVS 5.0 ツリーにある 1.5.2 の生の Markdown 要件を読み、既存の issue コメントを確認します。このデシリアライゼーションのコンテキストにおける「insecure」の意味を、ガジェットチェーンに関する懸念も含めて調査し、そのうえで、意図された範囲と完了基準が曖昧にならないよう要件を明確化します。

索引モデルが issue の本文から書いたものです。

説明

requires change control V1 (prev V5)

Verify that deserialization of untrusted data enforces safe input handling,
such as using an allowlist of object types or restricting client‑defined object
types, to prevent deserialization attacks. Deserialization mechanisms that
are explicitly defined as insecure must not be used with untrusted input.

Attackers can abuse "gadget chains" of already-allowed classes. A simple allowlist might not be enough.
what is "insecure" in ASVS context? As per me to identifying insecure requires continuous security research and knowledge, which is not possible easily.

主要言語
HTML
スター
3.8k
フォーク
855
平均マージ
1日 9時間
マージ済み PR（30日）
8

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

OWASP/ASVS のほかの issue

OWASP/ASVS の issue をすべて見る

似ている issue

Documentation の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。