system.net.http.formatting.dll veracode finding : Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1 flaw)
还没有人认领这个 Issue。
评估
调研方向
首先在 system.net.http.formatting.dll 中定位对象 GetDefaultValueForType(System.Type)，并确定 Veracode finding 如何到达反射调用。在决定安全的范围之前，检查报告的问题及其输入路径。完成的标准是已处理不安全反射 finding，并且相关的 Veracode 扫描不再报告 flaw 804。
由索引模型根据 Issue 内容生成。
描述
dear Team,
This dll is having issue found by veracode scan..
Can you help to make updated release, to solve this issue?
I can describe you some information of the finding:
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') (CWE ID 470)(1flaw)
Description
A call uses reflection in an unsafe manner. An attacker can specify the class name to be instantiated, which may create
unexpected control flow paths through the application. Depending on how reflection is being used, the attack vector
may allow the attacker to bypass security checks or otherwise cause the application to behave in an unexpected
manner. Even if the object does not implement the specified interface and a ClassCastException is thrown, the
constructor of the untrusted class name will have already executed.
Recommendations
Validate the class name against a combination of white and black lists to ensure that only expected behavior is
produced.
Instances found via Static Scan
Flaw Id : 804
Module # : -
Class # : 4
Module : system.net.http.formatting.dll
Location : object GetDefaultValueForType(System.Type) 91%
- 主要语言
- C#
- 星标
- 897
- 派生
- 358
- 平均合并
- 40 分钟
- 30 天内合并 PR
- 1
贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
aspnet/AspNetWebStack 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 45/100
aspnet/AspNetWebStack#431 · 1 条评论 ·
-
Needs: Author Feedback
难度 4/5 3-5 天 新手友好度 25/100
aspnet/AspNetWebStack#430 · 2 条评论 ·
-
Needs: Author Feedback
难度 4/5 3-5 天 新手友好度 25/100
aspnet/AspNetWebStack#429 · 1 条评论 ·
-
难度 3/5 1-2 天 新手友好度 45/100
aspnet/AspNetWebStack#407 · 1 条评论 ·
-
bug
aspnet/AspNetWebStack#399 · 2 条评论 · 已指派 1 人 ·
查看 aspnet/AspNetWebStack 的全部 Issue
相似的 Issue
-
bug
难度 1/5 1 小时以内 新手友好度 90/100
-
Type: enhancement
难度 2/5 1-3 小时 新手友好度 65/100
apache/arrow-adbc#4809 ·
-
type/automation type/tech-debt
难度 2/5 1-3 小时 新手友好度 70/100
-
难度 2/5 1-3 小时 新手友好度 65/100
microsoft/vscode-azurefunctions#5197 · 1 条评论 ·
-
难度 1/5 1 小时以内 新手友好度 85/100
microsoft/microsoft-ui-reactor#1274 ·