SV.EMAIL

未检查的电子邮件

将未检查的用户输入用于电子邮件地址或电子邮件的其他部分时，会检测到该错误。

从 2023.2 版本开始，此检查器将支持 Jakarta EE。

漏洞与风险

电子邮件地址是 Web 应用程序中很常用的输入字段。在某些情况下，应用程序使用这些电子邮件地址向用户发送电子邮件，或者在网站上显示电子邮件地址。就像所有其他用户输入一样，电子邮件地址容易受到通过恶意内容发起的攻击。例如，应用程序可以使用为用户存储的电子邮件字符串，通过直接调用 sendmail 命令向用户发送电子邮件。如果未检查便使用该字符串，则它可能包含任意命令，这些命令可以在应用程序主机上与 sendmail 一起运行（因此导致命令注入漏洞）。恶意用户还可以使用 Web 服务器发送“垃圾”电子邮件，或者含有不良内容的电子邮件。

Klocwork 安全漏洞 (SV) 检查器可识别可能创建危险数据的调用；这些调用被视为不安全的来源。用户所提供的任何数据都可能是不安全的来源，因为用户可能是攻击者，或者可能引入人为错误。

缓解与预防

可以通过验证所有来自应用程序外部的输入（例如用户输入、文件输入、系统参数等）防止来自用户输入的电子邮件注入攻击。验证应包括长度和内容。通常仅需要字母数字字符（即 A-Z、a-z、0-9），但对于电子邮件地址而言，字符“@”和下划线字符应该也可以接受。应对任何其他接受的字符进行转义。在每个数据源处（例如从 HTTP 请求读取每个参数时）执行验证。

漏洞代码示例 1

复制

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
     import javax.servlet.http.*;
     import javax.mail.internet.*;
     protected void doPost(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
         try {
             // Get system properties
             Properties props = System.getProperties();
             // Setup mail server
             props.put("mail.smtp.host", "my.company.com");
             // Get session
             Session session = Session.getDefaultInstance(props, null);
             // Define message
             MimeMessage message = new MimeMessage(session);
             message.setFrom(new InternetAddress("admin@my.company.com"));
             final String email = req.getParameter("email");
             Address addr = new InternetAddress(email);
             message.setRecipient(Message.RecipientType.TO, addr);
             message.setSubject(subject);
             message.setText(text);
             // Send message
             Transport.send(message);
         } catch (AddressException e) {
             throw new ServletException(e);
         } catch (MessagingException e) {
             throw new ServletException(e);
         }
     }

Klocwork 在第 16 行报告 SV.EMAIL 缺陷，指出：未验证的用户输入存储在 email（第 14 行）中，该输入用于创建地址对象 addr （第 15 行），此对象在第 16 行中用作收件人的地址。

漏洞代码示例 2

复制

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
     import jakarta.servlet.http.*;
     import jakarta.mail.internet.*;
     protected void doPost(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
         try {
             // Get system properties
             Properties props = System.getProperties();
             // Setup mail server
             props.put("mail.smtp.host", "my.company.com");
             // Get session
             Session session = Session.getDefaultInstance(props, null);
             // Define message
             MimeMessage message = new MimeMessage(session);
             message.setFrom(new InternetAddress("admin@my.company.com"));
             final String email = req.getParameter("email");
             Address addr = new InternetAddress(email);
             message.setRecipient(Message.RecipientType.TO, addr);
             message.setSubject(subject);
             message.setText(text);
             // Send message
             Transport.send(message);
         } catch (AddressException e) {
             throw new ServletException(e);
         } catch (MessagingException e) {
             throw new ServletException(e);
         }
     }

Klocwork 在第 16 行报告 SV.EMAIL 缺陷，指出：未验证的用户输入存储在 email（第 14 行）中，该输入用于创建地址对象 addr （第 15 行），此对象在第 16 行中用作收件人的地址。

外部指导

安全培训

应用程序安全培训材料由 Secure Code Warrior 提供。

扩展

此检查器可通过 Klocwork 知识库进行扩展。有关详情，请参阅调整 Java 分析。