DISA STIG バージョン 5 ID (Java)
この記事では、DISA Security Technical Implementation Guide バージョン 5 の ID を Klocwork Java チェッカーにマッピングします。DISA STIG の詳細については、STIG Web サイトを参照してください。
| ガイドライン | チェッカー名および説明 |
|---|---|
| Executive Orders |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222388 [APSC-DV-000060] (CAT 2): The application must clear temporary storage and cookies when the session is terminated. |
SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| V-222388 [APSC-DV-000060](CAT 2) |
SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| V-222396 [APSC-DV-000160] (CAT 2): The application must implement DoD-approved encryption to protect the confidentiality of remote access sessions. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222396 [APSC-DV-000160](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222397 [APSC-DV-000170] (CAT 2): The application must implement cryptographic mechanisms to protect the integrity of remote access sessions. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222397 [APSC-DV-000170](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222397 [APSC-DV-000170](CAT 2)V-254803 [APSC-DV-002010](CAT 2) |
SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 |
| V-222425 [APSC-DV-000460] (CAT 1) |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 |
| V-222425 [APSC-DV-000460] (CAT 1): The application must enforce approved authorizations for logical access to information and system resources in accordance with applicable access control policies. |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 |
| V-222427 [APSC-DV-000480] (CAT 2): The application must enforce approved authorizations for controlling the flow of information within the system based on organization-defined information flow control policies. |
SV.EXPOSE.FIELD static フィールドは悪意のあるコードによって変更される可能性があります SV.EXPOSE.FIN finalize() メソッドは、public ではなく protected アクセス修飾子を使用する必要があります SV.EXPOSE.IFIELD インスタンス フィールドは final にする必要があります SV.EXPOSE.MUTABLEFIELD static mutable フィールドは悪意のあるコードによってアクセスされる可能性があります SV.EXPOSE.RET 内部表現が露出される可能性があります SV.EXPOSE.STORE メソッドが mutable オブジェクトへの参照を保存しています |
| V-222427 [APSC-DV-000480](CAT 2) |
SV.EXPOSE.FIELD static フィールドは悪意のあるコードによって変更される可能性があります SV.EXPOSE.FIN finalize() メソッドは、public ではなく protected アクセス修飾子を使用する必要があります SV.EXPOSE.IFIELD インスタンス フィールドは final にする必要があります SV.EXPOSE.MUTABLEFIELD static mutable フィールドは悪意のあるコードによってアクセスされる可能性があります SV.EXPOSE.RET 内部表現が露出される可能性があります SV.EXPOSE.STORE メソッドが mutable オブジェクトへの参照を保存しています |
| V-222430 [APSC-DV-000510] (CAT 1) |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.CLEXT.POLICY クラスが 'java.security.Policy' を拡張しています SV.PRIVILEGE.MISSING 呼び出されるメソッドは doPrivileged ブロック内にあってはなりません SV.USE.POLICY Policy のメソッドが直接使用されています |
| V-222430 [APSC-DV-000510] (CAT 1): The application must execute without excessive account permissions. |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.CLEXT.POLICY クラスが 'java.security.Policy' を拡張しています SV.PRIVILEGE.MISSING 呼び出されるメソッドは doPrivileged ブロック内にあってはなりません SV.USE.POLICY Policy のメソッドが直接使用されています |
| V-222444 [APSC-DV-000650] (CAT 2): The application must not write sensitive data into the application logs. |
SV.LOG_FORGING ログの偽造 |
| V-222444 [APSC-DV-000650](CAT 2) |
SV.LOG_FORGING ログの偽造 |
| V-222501 [APSC-DV-001290] (CAT 2): The application must protect audit information from unauthorized modification. |
SV.LOG_FORGING ログの偽造 |
| V-222501 [APSC-DV-001290](CAT 2) |
SV.LOG_FORGING ログの偽造 |
| V-222515 [APSC-DV-001460] (CAT 2): An application vulnerability assessment must be conducted. |
SV.EMAIL 未チェックの電子メール SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 UMC.SYSERR System.err メソッドの呼び出しを使用したデバッグ プリントは好ましくありません UMC.SYSOUT System.out メソッドの呼び出しを使用したデバッグ プリントは好ましくありません |
| V-222515 [APSC-DV-001460](CAT 2) |
SV.EMAIL 未チェックの電子メール SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 UMC.SYSERR System.err メソッドの呼び出しを使用したデバッグ プリントは好ましくありません UMC.SYSOUT System.out メソッドの呼び出しを使用したデバッグ プリントは好ましくありません |
| V-222536 [APSC-DV-001680] (CAT 1) |
SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.HC.MINLEN 長さが 15 文字以上のハードコードされたパスワード |
| V-222536 [APSC-DV-001680] (CAT 1): The application must enforce a minimum 15-character password length. |
SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.HC.MINLEN 長さが 15 文字以上のハードコードされたパスワード |
| V-222542 [APSC-DV-001740] (CAT 1) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222542 [APSC-DV-001740] (CAT 1): The application must only store cryptographic representations of passwords. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222543 [APSC-DV-001750] (CAT 1) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222543 [APSC-DV-001750] (CAT 1): The application must transmit only cryptographically-protected passwords. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222550 [APSC-DV-001810] (CAT 1) |
SV.CERT.INVALID 証明書は、証明書パスを構築することで、検証する必要があります。 SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 |
| V-222550 [APSC-DV-001810] (CAT 1): The application |
SV.CERT.INVALID 証明書は、証明書パスを構築することで、検証する必要があります。 SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 |
| V-222551 [APSC-DV-001820] (CAT 1) |
SV.PERMS.HOME パーミッションを設定せずに、ユーザーのホームディレクトリに作成されるファイル SV.PERMS.WIDE 広すぎるパーミッション |
| V-222551 [APSC-DV-001820] (CAT 1): The application |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 SV.PERMS.HOME パーミッションを設定せずに、ユーザーのホームディレクトリに作成されるファイル SV.PERMS.WIDE 広すぎるパーミッション |
| V-222551 [APSC-DV-001820] (Cat 1) |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 |
| V-222554 [APSC-DV-001850] (CAT 1) |
SV.PASSWD.PLAIN プレーンテキストのパスワード |
| V-222554 [APSC-DV-001850] (CAT 1): The application must not display passwords/PINs as clear text. |
SV.PASSWD.PLAIN プレーンテキストのパスワード |
| V-222555 [APSC-DV-001860] (CAT 1) |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222555 [APSC-DV-001860] (CAT 1): The application must use mechanisms meeting the requirements of applicable federal laws |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222567 [APSC-DV-001995] (CAT 2): The application must not be vulnerable to race conditions. |
JD.NEXT 'NoSuchElementException' の可能性があります JD.SYNC.IN 一貫性のない同期化 SV.SHARED.VAR サーブレットから static 変数への非同期アクセス SV.STRUTS.STATIC ステータス フォーム: static フィールド SV.UMC.THREADS 好ましくない手法:スレッド管理の使用 |
| V-222567 [APSC-DV-001995](CAT 2) |
JD.NEXT 'NoSuchElementException' の可能性があります JD.SYNC.IN 一貫性のない同期化 SV.SHARED.VAR サーブレットから static 変数への非同期アクセス SV.STRUTS.STATIC ステータス フォーム: static フィールド SV.UMC.THREADS 好ましくない手法:スレッド管理の使用 |
| V-222568 [APSC-DV-002000] (CAT 2): The application must terminate all network connections associated with a communications session at the end of the session. |
RLK.NIO NIO オブジェクトが終了時に閉じられていません RLK.SOCK ソケットが終了時に閉じられていません |
| V-222568 [APSC-DV-002000](CAT 2) |
RLK.NIO NIO オブジェクトが終了時に閉じられていません RLK.SOCK ソケットが終了時に閉じられていません |
| V-222571 [APSC-DV-002030] (CAT 2): The application must utilize FIPS-validated cryptographic modules when generating cryptographic hashes. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222571 [APSC-DV-002030](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222572 [APSC-DV-002040] (CAT 2): The application must utilize FIPS-validated cryptographic modules when protecting unclassified information that requires cryptographic protection. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222572 [APSC-DV-002040](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222577 [APSC-DV-002230] (CAT 1) |
SV.IL.SESSION セッション ID のログ記録 SV.IL.SESSION.CLIENT HttpServletRequest.getRequestedSessionId メソッドは使用しないでください。 SV.SESSION.FIXATION.COOKIE cookie は、セッションの固定化に対して脆弱であってはなりません SV.SPRING.FIXATION セッション固定化保護が無効になっています。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222577 [APSC-DV-002230] (CAT 1): The application must not expose session IDs. |
SV.IL.SESSION セッション ID のログ記録 SV.IL.SESSION.CLIENT HttpServletRequest.getRequestedSessionId メソッドは使用しないでください。 SV.SESSION.FIXATION.COOKIE cookie は、セッションの固定化に対して脆弱であってはなりません SV.SPRING.FIXATION セッション固定化保護が無効になっています。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222578 [APSC-DV-002240] (CAT 1) |
SV.IL.SESSION セッション ID のログ記録 SV.IL.SESSION.CLIENT HttpServletRequest.getRequestedSessionId メソッドは使用しないでください。 SV.SESSION.FIXATION.COOKIE cookie は、セッションの固定化に対して脆弱であってはなりません SV.SPRING.FIXATION セッション固定化保護が無効になっています。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222578 [APSC-DV-002240] (CAT 1): The application must destroy the session ID value and/or cookie on logoff or browser close. |
SV.IL.SESSION セッション ID のログ記録 SV.IL.SESSION.CLIENT HttpServletRequest.getRequestedSessionId メソッドは使用しないでください。 SV.SESSION.FIXATION.COOKIE cookie は、セッションの固定化に対して脆弱であってはなりません SV.SPRING.FIXATION セッション固定化保護が無効になっています。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| V-222583 [APSC-DV-002290] (CAT 2): The application must use the Federal Information Processing Standard (FIPS) 140-2-validated cryptographic modules and random number generator if the application implements encryption |
SV.RANDOM 安全ではない乱数ジェネレータの使用 |
| V-222583 [APSC-DV-002290](CAT 2) |
SV.RANDOM 安全ではない乱数ジェネレータの使用 |
| V-222585 [APSC-DV-002310] (CAT 1) |
ANDROID.RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません RLK.HIBERNATE Hibernate オブジェクトが終了時に閉じられていません RLK.JNDI JNDI コンテキストが終了時に閉じられていません RLK.JPA {3} オブジェクトが終了時に閉じられていません。 RLK.SQLCON Sql 接続が終了時に閉じられていません RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| V-222585 [APSC-DV-002310] (CAT 1): The application must fail to a secure state if system initialization fails |
ANDROID.RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません RLK.HIBERNATE Hibernate オブジェクトが終了時に閉じられていません RLK.JNDI JNDI コンテキストが終了時に閉じられていません RLK.JPA {3} オブジェクトが終了時に閉じられていません。 RLK.SQLCON Sql 接続が終了時に閉じられていません RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| V-222589 [APSC-DV-002350] (CAT 2): The application must use appropriate cryptography in order to protect stored DoD information when required by the information owner or DoD policy. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222589 [APSC-DV-002350](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222590 [APSC-DV-002360] (CAT 2): The application must isolate security functions from non-security functions. |
SV.CLEXT.POLICY クラスが 'java.security.Policy' を拡張しています SV.USE.POLICY Policy のメソッドが直接使用されています |
| V-222590 [APSC-DV-002360](CAT 2) |
SV.CLEXT.POLICY クラスが 'java.security.Policy' を拡張しています SV.USE.POLICY Policy のメソッドが直接使用されています |
| V-222594 [APSC-DV-002400] (CAT 2): The application must restrict the ability to launch Denial of Service (DoS) attacks against itself or other information systems. |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.UMC.EXIT System.exit() および Runtime.exit() メソッドの呼び出しをサーブレット コードで使用すべきではありません |
| V-222594 [APSC-DV-002400](CAT 2) |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.UMC.EXIT System.exit() および Runtime.exit() メソッドの呼び出しをサーブレット コードで使用すべきではありません |
| V-222596 [APSC-DV-002440] (CAT 1) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.RANDOM 安全ではない乱数ジェネレータの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.SERIAL.NOFINAL シリアル化可能なクラスでは、メソッド readObject() および writeObject() は final である必要があります SV.SERIAL.NOREAD メソッド readObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.NOWRITE メソッド writeObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.SIG Serializable クラスのメソッド readObject() および writeObject() が正しいシグネチャを持つ必要があります SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 |
| V-222596 [APSC-DV-002440] (CAT 1) V-222396 [APSC-DV-000160](CAT 2) |
SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 |
| V-222596 [APSC-DV-002440] (CAT 1): The application must protect the confidentiality and integrity of transmitted information. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード SV.RANDOM 安全ではない乱数ジェネレータの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.SERIAL.NOFINAL シリアル化可能なクラスでは、メソッド readObject() および writeObject() は final である必要があります SV.SERIAL.NOREAD メソッド readObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.NOWRITE メソッド writeObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.SIG Serializable クラスのメソッド readObject() および writeObject() が正しいシグネチャを持つ必要があります SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 |
| V-222600 [APSC-DV-002480] (CAT 2): The application must not disclose unnecessary information to users. |
SV.IL.DEV 設計情報の漏洩 SV.IL.FILE ファイル名のリーク SV.STRBUF.CLEAN 文字列バッファが削除されていません SV.STRUTS.NOTRESET ステータス フォーム:リセットが整合していません |
| V-222600 [APSC-DV-002480](CAT 2) |
SV.IL.DEV 設計情報の漏洩 SV.IL.FILE ファイル名のリーク SV.STRBUF.CLEAN 文字列バッファが削除されていません SV.STRUTS.NOTRESET ステータス フォーム:リセットが整合していません |
| V-222602 [APSC-DV-002490] (CAT 1) |
ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ SV.HTTP_SPLIT HTTP 応答分割 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.DB クロスサイト スクリプティング (Stored XSS) SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222602 [APSC-DV-002490] (CAT 1): The application must protect from Cross-Site Scripting (XSS) vulnerabilities. |
ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ SV.HTTP_SPLIT HTTP 応答分割 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.DB クロスサイト スクリプティング (Stored XSS) SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222603 [APSC-DV-002500] (CAT 2): The application must protect from Cross-Site Request Forgery (CSRF) vulnerabilities. |
SV.CSRF.GET GET リクエスト中の CSRF トークン SV.CSRF.ORIGIN オリジンチェックなしの要求ハンドラ SV.CSRF.TOKEN CSRF チェックなしの状態変更要求ハンドラ |
| V-222603 [APSC-DV-002500](CAT 2) |
SV.CSRF.GET GET リクエスト中の CSRF トークン SV.CSRF.ORIGIN オリジンチェックなしの要求ハンドラ SV.CSRF.TOKEN CSRF チェックなしの状態変更要求ハンドラ |
| V-222604 [APSC-DV-002510] (CAT 1) |
SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.CLEXT.CLLOADER クラスが 'java.lang.ClassLoader' を拡張しています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.EXEC.LOCAL プロセス インジェクション。ローカル引数 SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SERIAL.INON インタフェースが 'Serializable' を拡張しています SV.SERIAL.NON クラスが 'Serializable' を実装しています SV.SERIAL.NOREAD メソッド readObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.NOWRITE メソッド writeObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.SIG Serializable クラスのメソッド readObject() および writeObject() が正しいシグネチャを持つ必要があります |
| V-222604 [APSC-DV-002510] (CAT 1): The application must protect from command injection. |
SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.CLEXT.CLLOADER クラスが 'java.lang.ClassLoader' を拡張しています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.EXEC.LOCAL プロセス インジェクション。ローカル引数 SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SERIAL.INON インタフェースが 'Serializable' を拡張しています SV.SERIAL.NON クラスが 'Serializable' を実装しています SV.SERIAL.NOREAD メソッド readObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.NOWRITE メソッド writeObject() を Serializable クラスに対して定義する必要があります SV.SERIAL.SIG Serializable クラスのメソッド readObject() および writeObject() が正しいシグネチャを持つ必要があります |
| V-222606 [APSC-DV-002530] (CAT 2): The application must validate all input. |
ANDROID.LIFECYCLE.SV.FRAGMENTINJ 未検証のフラグメント クラス名 ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ CMP.CLASS クラス名による比較が行われています SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.DATA.BOUND 信頼できないデータが信頼できるストレージにリークしています SV.DATA.DB データ インジェクション SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.HTTP_SPLIT HTTP 応答分割 SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.LDAP 未検証のユーザ入力が LDAP フィルタとして使用されています SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SQL SQL インジェクション SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 SV.STRUTS.NOTVALID ステータス フォーム:検証が整合していません SV.STRUTS.VALIDMET ステータス フォーム: validate メソッド SV.TAINT 不正データ SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222606 [APSC-DV-002530](CAT 2) |
ANDROID.LIFECYCLE.SV.FRAGMENTINJ 未検証のフラグメント クラス名 ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ CMP.CLASS クラス名による比較が行われています SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.DATA.BOUND 信頼できないデータが信頼できるストレージにリークしています SV.DATA.DB データ インジェクション SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.HTTP_SPLIT HTTP 応答分割 SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.LDAP 未検証のユーザ入力が LDAP フィルタとして使用されています SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SQL SQL インジェクション SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 SV.STRUTS.NOTVALID ステータス フォーム:検証が整合していません SV.STRUTS.VALIDMET ステータス フォーム: validate メソッド SV.TAINT 不正データ SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222607 [APSC-DV-002540] (CAT 1) |
SV.SQL SQL インジェクション SV.SQL.DBSOURCE 未検証のデータベースからの情報がSQL文に使用されています |
| V-222607 [APSC-DV-002540] (CAT 1): The application must not be vulnerable to SQL Injection. |
SV.SQL SQL インジェクション SV.SQL.DBSOURCE 未検証のデータベースからの情報がSQL文に使用されています |
| V-222608 [APSC-DV-002550] (CAT 1) |
SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XXE.DBF XML 外部実体攻撃の可能性 SV.XXE.SF XML 外部実体攻撃の可能性 SV.XXE.SPF XML 外部実体攻撃の可能性 SV.XXE.TF XML 外部実体攻撃の可能性 SV.XXE.XIF XML 外部実体攻撃の可能性 SV.XXE.XRF XML 外部実体攻撃の可能性 |
| V-222608 [APSC-DV-002550] (CAT 1): The application must not be vulnerable to XML-oriented attacks. |
SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XXE.DBF XML 外部実体攻撃の可能性 SV.XXE.SF XML 外部実体攻撃の可能性 SV.XXE.SPF XML 外部実体攻撃の可能性 SV.XXE.TF XML 外部実体攻撃の可能性 SV.XXE.XIF XML 外部実体攻撃の可能性 SV.XXE.XRF XML 外部実体攻撃の可能性 |
| V-222609 [APSC-DV-002560] (CAT 1) |
ANDROID.LIFECYCLE.SV.FRAGMENTINJ 未検証のフラグメント クラス名 ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ CMP.CLASS クラス名による比較が行われています SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.DATA.BOUND 信頼できないデータが信頼できるストレージにリークしています SV.DATA.DB データ インジェクション SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.HTTP_SPLIT HTTP 応答分割 SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.LDAP 未検証のユーザ入力が LDAP フィルタとして使用されています SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SQL SQL インジェクション SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 SV.STRUTS.NOTVALID ステータス フォーム:検証が整合していません SV.STRUTS.VALIDMET ステータス フォーム: validate メソッド SV.TAINT 不正データ SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222609 [APSC-DV-002560] (CAT 1): The application must not be subject to input handling vulnerabilities. |
ANDROID.LIFECYCLE.SV.FRAGMENTINJ 未検証のフラグメント クラス名 ANDROID.LIFECYCLE.SV.GETEXTRA 未検証の外部データ CMP.CLASS クラス名による比較が行われています SV.CLASSDEF.INJ ランタイムクラス定義インジェクション SV.CLASSLOADER.INJ クラスローダー URL インジェクション SV.DATA.BOUND 信頼できないデータが信頼できるストレージにリークしています SV.DATA.DB データ インジェクション SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.EMAIL 未チェックの電子メール SV.EXEC プロセス インジェクション SV.EXEC.DIR プロセス インジェクション。作業ディレクトリ SV.EXEC.ENV プロセス インジェクション。環境変数 SV.HTTP_SPLIT HTTP 応答分割 SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.LDAP 未検証のユーザ入力が LDAP フィルタとして使用されています SV.PATH パスまたはファイル名のインジェクション SV.PATH.INJ ファイル インジェクション SV.SCRIPT スクリプトの実行 SV.SQL SQL インジェクション SV.SSRF.URI 無効化されたユーザー入力に基づく URI です。 SV.STRUTS.NOTVALID ステータス フォーム:検証が整合していません SV.STRUTS.VALIDMET ステータス フォーム: validate メソッド SV.TAINT 不正データ SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.XPATH 未検証のユーザ入力が XPath 式として使用されています SV.XSS.REF クロスサイト スクリプティング (Reflected XSS) |
| V-222612 [APSC-DV-002590] (CAT 1) |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています |
| V-222612 [APSC-DV-002590] (CAT 1): The application must not be vulnerable to overflow attacks. |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.INT_OVF 不正データが整数オーバーフローを引き起こす可能性があります SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています |
| V-222625 [APSC-DV-002950] (CAT 2): Execution flow diagrams and design documents must be created to show how deadlock and recursion issues in web services are being mitigated. |
JD.INF.AREC 見かけ上の無限再帰 JD.LOCK 取得したロックを解放していません JD.LOCK.NOTIFY ロックが保持された状態で 'notify' メソッドが呼び出されています JD.LOCK.SLEEP ロックが保持された状態で 'sleep' メソッドが呼び出されています JD.LOCK.WAIT ロックが保持された状態で 'wait' メソッドが呼び出されています |
| V-222625 [APSC-DV-002950](CAT 2) |
JD.INF.AREC 見かけ上の無限再帰 JD.LOCK 取得したロックを解放していません JD.LOCK.NOTIFY ロックが保持された状態で 'notify' メソッドが呼び出されています JD.LOCK.SLEEP ロックが保持された状態で 'sleep' メソッドが呼び出されています JD.LOCK.WAIT ロックが保持された状態で 'wait' メソッドが呼び出されています |
| V-222641 [APSC-DV-003100] (CAT 2): The application must use encryption to implement key exchange and authenticate endpoints prior to establishing a communication channel for key exchange. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222641 [APSC-DV-003100](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-222642 [APSC-DV-003110] (CAT 1) |
SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード |
| V-222642 [APSC-DV-003110] (CAT 1): The application must not contain embedded authentication data. |
SV.PASSWD.HC ハードコードされたパスワード SV.PASSWD.HC.EMPTY 空のパスワード SV.PASSWD.PLAIN プレーンテキストのパスワード SV.PASSWD.PLAIN.HC プレーンテキストのパスワード |
| V-222653 [APSC-DV-003215] (CAT 3): The application development team must follow a set of coding standards. |
JD.THREAD.RUN 'Thread.run' メソッドが明示的に呼び出されています JD.UMC.FINALIZE 'Object.finalize' メソッドが明示的に呼び出されています JD.UMC.RUNFIN runFinalizersOnExit() が呼び出されています MNA.CAP メソッド名は大文字以外で始まる必要があります MNA.CNS メソッド名がコンストラクタ名と同じですが、コンストラクタではありません MNA.SUS 疑わしいメソッド名 |
| V-222653 [APSC-DV-003215](CAT 3) |
JD.THREAD.RUN 'Thread.run' メソッドが明示的に呼び出されています JD.UMC.FINALIZE 'Object.finalize' メソッドが明示的に呼び出されています JD.UMC.RUNFIN runFinalizersOnExit() が呼び出されています MNA.CAP メソッド名は大文字以外で始まる必要があります MNA.CNS メソッド名がコンストラクタ名と同じですが、コンストラクタではありません MNA.SUS 疑わしいメソッド名 |
| V-222656 [APSC-DV-003235] (CAT 2): The application must not be subject to error handling vulnerabilities. |
ECC.EMPTY Catch 節が空です EXC.BROADTHROWS 過度に広範な範囲に対応するメソッドが宣言をスローしています JD.CATCH ランタイム例外のキャッチ JD.UNCAUGHT 例外がキャッチされていません RI.IGNOREDCALL immutable オブジェクトに対して呼び出されたメソッドから返された値が無視されています RI.IGNOREDNEW 新規に作成されたオブジェクトが無視されています RR.IGNORED 戻り値が無視されています |
| V-222656 [APSC-DV-003235](CAT 2) |
ECC.EMPTY Catch 節が空です EXC.BROADTHROWS 過度に広範な範囲に対応するメソッドが宣言をスローしています JD.CATCH ランタイム例外のキャッチ JD.UNCAUGHT 例外がキャッチされていません RI.IGNOREDCALL immutable オブジェクトに対して呼び出されたメソッドから返された値が無視されています RI.IGNOREDNEW 新規に作成されたオブジェクトが無視されています RR.IGNORED 戻り値が無視されています |
| V-222662 [APSC-DV-003280] (CAT 1) |
SV.PASSWD.HC ハードコードされたパスワード |
| V-222662 [APSC-DV-003280] (CAT 1): Default passwords must be changed. |
SV.PASSWD.HC ハードコードされたパスワード |
| V-222667 [APSC-DV-003320] (CAT 2): Protections against DoS attacks must be implemented. |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.UMC.EXIT System.exit() および Runtime.exit() メソッドの呼び出しをサーブレット コードで使用すべきではありません |
| V-222667 [APSC-DV-003320](CAT 2) |
SV.DOS.ARRINDEX 不正なインデックスが配列アクセスに使用されています SV.DOS.ARRSIZE 不正なサイズが配列割り当てに使用されています SV.TAINT_NATIVE 不正データがネイティブ コードに渡されています SV.TMPFILE 一時ファイルのパス改ざん SV.UMC.EXIT System.exit() および Runtime.exit() メソッドの呼び出しをサーブレット コードで使用すべきではありません |
| V-254803 [APSC-DV-002010] (CAT 2): The application must implement NSA-approved cryptography to protect classified information in accordance with applicable federal laws |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| V-254803 [APSC-DV-002010](CAT 2) |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| and guidance for authentication to a cryptographic module. |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| and hash functionality. |
SV.RANDOM 安全ではない乱数ジェネレータの使用 |
| and standards. |
SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 |
| digital signature |
SV.RANDOM 安全ではない乱数ジェネレータの使用 |
| directives |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| key exchange |
SV.RANDOM 安全ではない乱数ジェネレータの使用 |
| must enforce authorized access to the corresponding private key. |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 SV.PERMS.HOME パーミッションを設定せずに、ユーザーのホームディレクトリに作成されるファイル SV.PERMS.WIDE 広すぎるパーミッション |
| must validate certificates by constructing a certification path (which includes status information) to an accepted trust anchor. |
SV.CERT.INVALID 証明書は、証明書パスを構築することで、検証する必要があります。 SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 |
| or aborts fail. |
ANDROID.RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません RLK.HIBERNATE Hibernate オブジェクトが終了時に閉じられていません RLK.JNDI JNDI コンテキストが終了時に閉じられていません RLK.JPA {3} オブジェクトが終了時に閉じられていません。 RLK.SQLCON Sql 接続が終了時に閉じられていません RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| policies |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| regulations |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| shutdown fails |
ANDROID.RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません RLK.HIBERNATE Hibernate オブジェクトが終了時に閉じられていません RLK.JNDI JNDI コンテキストが終了時に閉じられていません RLK.JPA {3} オブジェクトが終了時に閉じられていません。 RLK.SQLCON Sql 接続が終了時に閉じられていません RLK.SQLOBJ Sql オブジェクトが終了時に閉じられていません SV.DOS.TMPFILEDEL JVM のライフタイムの間一時ファイルが存続します SV.DOS.TMPFILEEXIT 一時ファイルが存続します |
| standards |
JAVA.SV.EMAIL.HOST 検証なしでホストに電子メールを送信しています。 SV.AUTH.HASH.MIGHT 脆弱な暗号化アルゴリズムの使用 SV.AUTH.HASH.MUST 脆弱な暗号化アルゴリズムの使用 SV.ECV クラスローダが直接使用されています SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 SV.HASH.NO_SALT ソルトなしの一方向性暗号化ハッシュの使用 SV.SENSITIVE.DATA 暗号化されていない機密データが書き込まれます SV.SENSITIVE.OBJ 暗号化されていない機密データを持つオブジェクトが保存されます SV.WEAK.CRYPT 破られたまたは危険な暗号化アルゴリズムの使用 SV.WEAK.KEYS.AES 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DH 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.DSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.EC 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.KEYS.RSA 暗号化アルゴリズムのキー長さが不十分です SV.WEAK.TLS 脆弱な SSL/TLS プロトコルは使用しないでください。 SV.XSS.COOKIE setHttpOnly フラグのない機密性の高い cookie SV.XSS.COOKIE.SECURE 安全なプロトコルがなくても反応する cookie |
| when using PKI-based authentication |
SPRING.AUTHC.ABSENT 重要なリソースに対する設定の欠落 SPRING.AUTHC.MISSING 重要な機能に対する認証の欠落 SPRING.AUTHZ.ABSENT 保護されたリソース用の構成はありません SPRING.AUTHZ.MISSING 認証の欠落 SV.AUTH.BYPASS.MIGHT 不正確な認証 SV.AUTH.BYPASS.MUST 不正確な認証 SV.PERMS.HOME パーミッションを設定せずに、ユーザーのホームディレクトリに作成されるファイル SV.PERMS.WIDE 広すぎるパーミッション |
| when utilizing PKI-based authentication |
SV.CERT.INVALID 証明書は、証明書パスを構築することで、検証する必要があります。 SV.ECV.TRUSTMANAGER X509TrustManager インターフェイスの実装が安全ではありません。 |
サポートのサマリー:
- 38 個の検出