PCI DSS ID (Java)

支払カード業界データセキュリティ基準 (PCI DSS) は、アカウントデータを保護するように考案された、技術要件と運用要件のベースラインとして機能します。PCI DSS は、カード会員のデータセキュリティを促進、強化するとともに、一貫したデータセキュリティ対策の広範な採用を全世界的に促進する目的で開発されました。

以下の表は、PCI DSS バージョン 3.2.1 ID を Klocwork Java チェッカーにマッピングしています。

ID	チェッカー名および説明
6.5.1	SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.DATA.BOUND 信頼できないデータが信頼できるストレージにリークしています SV.DATA.DB データインジェクション SV.EXEC プロセスインジェクション SV.EXEC.DIR プロセスインジェクション。作業ディレクトリ SV.EXEC.ENV プロセスインジェクション。環境変数 SV.EXEC.LOCAL プロセスインジェクション。ローカル引数 SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイルインジェクション SV.SQL SQL インジェクション SV.SQL.DBSOURCE 未検証のデータベースからの情報がSQL文に使用されています
6.5.2	SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています
6.5.3	SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.RANDOM 安全ではない乱数ジェネレータの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用
6.5.4	SV.EMAIL 未チェックの電子メール SV.HTTP_SPLIT HTTP 応答分割 SV.SERIAL.NOREAD メソッド readObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.NOWRITE メソッド writeObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.SIG Serializable クラスのメソッド readObject() および writeObject() が正しいシグネチャを持つ必要があります SV.TAINT 不正データ SV.TAINT_NATIVE 不正データがネイティブコードに渡されています
6.5.5	ECC.EMPTY Catch 節が空です EXC.BROADTHROWS 過度に広範な範囲に対応するメソッドが宣言をスローしています JD.CATCH ランタイム例外のキャッチ JD.FINRET finally 内の return JD.UNCAUGHT 例外がキャッチされていません SV.IL.DEV 設計情報の漏洩 SV.IL.FILE ファイル名のリーク UMC.SYSERR System.err メソッドの呼び出しを使用したデバッグプリントは好ましくありません UMC.SYSOUT System.out メソッドの呼び出しを使用したデバッグプリントは好ましくありません
6.5.7	SV.XSS.DB クロスサイトスクリプティング (Stored XSS) SV.XSS.REF クロスサイトスクリプティング (Reflected XSS)
6.5.8	ANDROID.LIFECYCLE.SV.FRAGMENTINJ 未検証のフラグメントクラス名 ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します
6.5.9	SV.CSRF.GET GET リクエスト中の CSRF トークン SV.CSRF.ORIGIN オリジンチェックなしの要求ハンドラ SV.CSRF.TOKEN CSRF チェックなしの状態変更要求ハンドラ
6.5.10	SV.ECV クラスローダが直接使用されています SV.LDAP 未検証のユーザ入力が LDAP フィルタとして使用されています