system.net.http.formatting.dll veracode finding : Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1 flaw)
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 25/100
Hướng nghiên cứu
Bắt đầu bằng cách xác định đối tượng GetDefaultValueForType(System.Type) trong system.net.http.formatting.dll và xác định cách finding của Veracode đi đến lệnh gọi reflection. Xem xét lỗi được báo cáo và đường dẫn đầu vào của nó trước khi quyết định phạm vi an toàn. Được xem là hoàn tất khi finding về reflection không an toàn đã được xử lý và bản quét Veracode liên quan không còn báo cáo flaw 804.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
dear Team,
This dll is having issue found by veracode scan..
Can you help to make updated release, to solve this issue?
I can describe you some information of the finding:
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1flaw)
Description
A call uses reflection in an unsafe manner. An attacker can specify the class name to be instantiated, which may create
unexpected control flow paths through the application. Depending on how reflection is being used, the attack vector
may allow the attacker to bypass security checks or otherwise cause the application to behave in an unexpected
manner. Even if the object does not implement the specified interface and a ClassCastException is thrown, the
constructor of the untrusted class name will have already executed.
Recommendations
Validate the class name against a combination of white and black lists to ensure that only expected behavior is
produced.
Instances found via Static Scan
Flaw Id : 804
Module # : -
Class # : 4
Module : system.net.http.formatting.dll
Location : object GetDefaultValueForType(System.Type) 91%
- Ngôn ngữ chính
- C#
- Star
- 897
- Fork
- 358
- Merge trung bình
- 40 phút
- Pull request đã merge (30 ngày)
- 1
Hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của aspnet/AspNetWebStack
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 45/100
aspnet/AspNetWebStack#431 · 1 bình luận ·
-
Needs: Author Feedback
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 25/100
aspnet/AspNetWebStack#430 · 2 bình luận ·
-
Needs: Author Feedback
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 25/100
aspnet/AspNetWebStack#429 · 1 bình luận ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 45/100
aspnet/AspNetWebStack#407 · 1 bình luận ·
-
bug
aspnet/AspNetWebStack#399 · 2 bình luận · 1 người được giao ·
Tất cả issue của aspnet/AspNetWebStack
Issue tương tự
-
CS0162 "Unreachable code detected" warning from a MSBuildTemp .tmp file in every game project Đang mởbug
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
-
Type: enhancement
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
apache/arrow-adbc#4809 ·
-
type/automation type/tech-debt
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
microsoft/vscode-azurefunctions#5197 · 1 bình luận ·
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 85/100
microsoft/microsoft-ui-reactor#1274 ·