보안 취약점 검사 결과 중 수정 방법이 궁금한 부분 있습니다.

Question

Session session &#61; null; Channel channel &#61; null; ChannelSftp channelSftp &#61; null; InputStream inputStream &#61; null; JSch jsch &#61; new JSch(); try { session &#61; jsch.getSession(user, server, port); session.setPassword(password); Properties config &#61; new Properties(); config.put(&#34;StrictHostKeyChecking&#34;, &#34;no&#34;); session.setConfig(config); session.connect(); channel &#61; session.openChannel(&#34;sftp&#34;); channel.connect(); channelSftp &#61; (ChannelSftp) channel; targetFlpth &#43;&#61; file.getOriginalFilename(); inputStream &#61; new ByteArrayInputStream(file.getBytes()); channelSftp.put(inputStream, targetFlpth); result &#61; SUCCES_NUM; } catch (JSchException e) { LOGGER.error(&#34;JSchException&#34;, e); } catch (SftpException e1) { LOGGER.error(&#34;SftpException&#34;, e1); } finally { if (channelSftp !&#61; null) channelSftp.disconnect(); if (channel !&#61; null) channel.disconnect(); if (session !&#61; null) session.disconnect(); if (inputStream !&#61; null) inputStream.close(); }위의 코드 중new BtyeArrayInputStream(file.getBytes());부분이 'CWE-404, 부적절한 자원 해제(IO)' 취약점으로 나왔습니다. 예외 상황 발생시 자원이 해제되지 않을 수도 있다는 것인데요.finally에서 inputStream에 대해 close()처리를 했는데도 문제가 있다고 나온 이유를 이해 못 했습니다. 원인을 이해 못 하니 수정도 못하고 있는데요 알려주시면 감사하겠습니다.

siva6 · Answer

https://skogkatt.tistory.com/268 이걸 참조해보세요.

낙락도 · Answer

http://www.devkuma.com/books/pages/1168 해당 사이트를 찾아보니까 작성자님이 작성해주신 코드에서 보면 if (channelSftp !&#61; null) channelSftp.disconnect(); if (channel !&#61; null) channel.disconnect(); ㅑf (session !&#61; null) session.disconnect(); if (inputStream !&#61; null) inputStream.close();inputstream 이전 disconnect()에서 에러가 발생한다면 에러 발생시 inputstream.close() 부분이 호출 안되어서 부적절한 케이스로 보고 있네요 따라서 각 if문 마다 try catch로 해결 할것을 조치 방법으로 제시하고 있습니다.

소환사쇽쇽 · Answer

낙락도감사합니다. 이해가 되었습니다. 그런데 검사기 돌린 결과는 같네요. 왜 그럴까요. 에공.

낙락도 · Answer

저도 자세한건 모르겠지만 http://twinbraid.blogspot.com/2015/01/bytearrayoutputstream.html 참고해보세요. 요약하자면 ByteArrayOutputStream은 flush(), close() 메서드는 의미없다고하네요.

낙락도 · Answer

ByteArrayInputStream 도 그렇다네요

소환사쇽쇽 · Answer

낙락도감사합니다! close를 안 했더니 검출되지 않네요.

보안 취약점 검사 결과 중 수정 방법이 궁금한 부분 있습니다.

6개의 답변

Q&A 목록