system.net.http.formatting.dll veracode finding : Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1 flaw)
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
調査の方向性
まず system.net.http.formatting.dll 内のオブジェクト GetDefaultValueForType(System.Type) を特定し、Veracode の finding がどのようにリフレクション呼び出しに到達するかを確認します。安全なスコープを決定する前に、報告された不備とその入力経路を確認してください。安全でないリフレクションの finding に対処し、該当する Veracode スキャンで flaw 804 が報告されなくなれば完了です。
索引モデルが issue の本文から書いたものです。
説明
dear Team,
This dll is having issue found by veracode scan..
Can you help to make updated release, to solve this issue?
I can describe you some information of the finding:
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1flaw)
Description
A call uses reflection in an unsafe manner. An attacker can specify the class name to be instantiated, which may create
unexpected control flow paths through the application. Depending on how reflection is being used, the attack vector
may allow the attacker to bypass security checks or otherwise cause the application to behave in an unexpected
manner. Even if the object does not implement the specified interface and a ClassCastException is thrown, the
constructor of the untrusted class name will have already executed.
Recommendations
Validate the class name against a combination of white and black lists to ensure that only expected behavior is
produced.
Instances found via Static Scan
Flaw Id : 804
Module # : -
Class # : 4
Module : system.net.http.formatting.dll
Location : object GetDefaultValueForType(System.Type) 91%
- 主要言語
- C#
- スター
- 897
- フォーク
- 358
- 平均マージ
- 40分
- マージ済み PR（30日）
- 1
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
aspnet/AspNetWebStack のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 45/100
aspnet/AspNetWebStack#431 · コメント 1 件 ·
-
Needs: Author Feedback
難易度 4/5 3〜5日 初心者へのやさしさ 25/100
aspnet/AspNetWebStack#430 · コメント 2 件 ·
-
Needs: Author Feedback
難易度 4/5 3〜5日 初心者へのやさしさ 25/100
aspnet/AspNetWebStack#429 · コメント 1 件 ·
-
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
aspnet/AspNetWebStack#407 · コメント 1 件 ·
-
bug
aspnet/AspNetWebStack#399 · コメント 2 件 · 担当者 1 名 ·
aspnet/AspNetWebStack の issue をすべて見る
似ている issue
-
core dependencies
難易度 1/5 1時間未満 初心者へのやさしさ 80/100
-
bug frontend good first issue
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
-
NavigationViewItemAutomationPeer implements IInvokeProvider but never advertises the Invoke pattern オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
unoplatform/uno#24629 ·
-
agentic-workflows Needs: Triage :mag: State: In-PR
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
-
Down / Waiting for removal
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100