안녕하세요 웹취약점 오류사항 미수신에 대해 질문드립니다.

Question

안녕하세요.자바 초보가 질문드립니다.취약점 점검이 나왔는데 거의 다 수정했는데몇가지는 제가 도저히 이해를 못해 질문드립니다.오류사항 미수신 입니다.소스) private void validateBorders(List borders) { if (borders.size() != 4) { throw new IllegalArgumentException( "Should be initialized with TOP RIGHT LEFT BOTTOM borders"); } }===소스 끝 throw new IllegalArgumentException( "Should be initialized with TOP RIGHT LEFT BOTTOM borders"); } 이부분에서 걸립니다. 이걸 try catch로 바꿔야 하는 걸까요? ㅠㅠ 부적절한 예외처리(throw 사용 부재)소스) @Transactional public Long updatePost(MntDTO dto) { String auth = dto.getAuth; AuthEntity entityAuth = authRepository.findById(dto.auth()) .orElseThrow(() -> new NfException(NfExceptionEnum.POSTS_NOT_FOUND)); entityAuth .update(auth); return dto.getAuth(); }==== 소스 끝 AuthEntity entityAuth = authRepository.findById(dto.auth()) .orElseThrow(() -> new NfException(NfExceptionEnum.POSTS_NOT_FOUND)); new NfException(NfExceptionEnum.POSTS_NOT_FOUND)); 이부분에서 걸립니다. 이걸 람다 형식이라고 하나요?? 어떤식으로 수정해야 할지 난감합니다 ㅠㅠpublic 메소드로부터 반환된 private 배열소스)private List dataFieldNames;public List getDataFieldNames() { return dataFieldNames;}==== 소스 끝 return dataFieldNames;이부분에서 걸립니다. 어떤식으로 수정해야 할지 역시 난감합니다.ㅠㅠprivate 배열에 public 데이터 할당소스) private List border; public DefaultBorder(List border) { validateBorder(border); this.border= border; }==== 소스 끝 this.borders = borders; 이부분에서 걸립니다. 어떤식으로 수정해야 할지 역시 난감합니다.ㅠㅠ질문이 많아서 죄송합니다. ㅠㅠ

Clickin · Answer

소스만 올리신 상황에서 어떤 사유로 취약점 진단이 되었는지는 각각 한줄만 기재하셨는데 그것만 가지고는 취약점 진단이 요구하는 수정방향을 이해할 수가 없네요

basscraft · Answer

발생 할 수 있는 IllegalArgumentException 에 대한 처리를 하지 않았다는 것 같습니다.IllegalArgumentException 에 대한 처리를 하시던가(500 에러가 나지 않도록), 프레임워크에서 공통으로 처리하는 커스텀 익셉션 으로 변경 하시면 될 것 같습니다.저도 옛날 사람이라 저런 코딩에 익숙하지 않은데... 코드만 봐서는 문제가 없을 것 같은데 지적이 나왔다는 것은 진짜 문제가 있어서 나온 것 일 수도 있고 진단툴의 문제 일 수도 있을 것 같다는 생각입니다.해결이 잘 안된다면 옛날 스타일 코드로 명확하게 try catch throw 하도록 변경 하면 될 것 같다는 생각입니다.4. java에서는 기본적으로 call by value 이지만 몇가지 (클래스, 배열... ?) 은 call by referance 로 동작 되는 것으로 알고 있습니다.그러므로 private 배열을 리턴하는 경우 외부에서 조작 가능한 은닉성을 위배 하기 때문에 발생한 것 아닌가 싶습니다.여러가지 방법이 있겠지만... 리턴해야 하는 배열을 얕은 복사로 복사 하는 방법이 어떨까 싶습니다.취약점 진단 문서에 내용을 보면 수정 샘플도 있을 것 이고 위에 적어주신 타이틀로 구글링 해보면 많은 내용이 나올 것 입니다.건투를 빕니다.

vrerv · Answer

오류사항 미수신 입니다.소스)이 부분도 적절한 처리인데, 체킹이 문제 인 것 같습니다.체킹 하는 프로그램 또는 방법이 어떤 것을 체킹하는지 알아야 될 것 같은데요.외부 코드 없이 모든 exception 을 명시적으로 최종단계에서 처리해야 되는 건지요.부적절한 예외처리(throw 사용 부재)소스)이 부분은 적절한 소스인데, 체킹 프로그램이 문제 인것 같습니다.체킹 프로그램을 맞춰야 한다면, throw 를 사용하도록 람다 코드가 아닌 일반 코드로 바꿔야 할 것 같네요.public 메소드로부터 반환된 private 배열소스)// 반환된 list 를 외부에서 변경할 수 있으므로, immutable 로 리턴하라는 뜻 같네요.return Collections.unmodifiableList(dataFieldNames);private 배열에 public 데이터 할당// 역시 위랑 비슷한데, parameter 가 외부 리스트이므로, 그대로 할당하면, 파라미터로 들어온 외부리스트가 같이 변경되는 것이 문제입니다.// mutable this.border = new ArrayList<>(border);// 또는 immutablethis.border = Collections.unmodifiableList(new ArrayList<>(border));

안녕하세요 웹취약점 오류사항 미수신에 대해 질문드립니다.

3개의 답변

Q&A 목록