NPD.FUNC.CALL.MIGHT

可能性のある null ポインターが条件付きの関数呼び出しで逆参照される場合があります

null ポインターを使用してデータにアクセスしようとすると、ランタイムエラーが発生します。有効だと思っていたのに実際は null だと判明したポインターをプログラムが逆参照すると、null ポインター逆参照が起こります。null ポインター逆参照欠陥は、エラー処理または競合状態が無効なためにしばしば起こります。通常、プログラム終了の異常が発生します。ポインターが C/C++ コードにおいて逆参照される前に、null に等しくないことを確認するためにチェックする必要があります。

NPD チェッカーは、null または null ポインターが逆参照されるインスタンスを探します。

NPD.FUNC.CALL.MIGHT チェッカーは、null を返す可能性がある関数呼び出しからのポインター値が、後でそれを null についてチェックせずに逆参照する場合がある関数に渡される可能性がある状況にフラグを立てます。

脆弱性とリスク

通常、null ポインターの逆参照は、プロセスに失敗する結果となります。これらの指摘は通常、無効な例外処理が原因で発生します。

軽減と防止

この脆弱性を回避するには、次の操作を実行します。

値を返すすべての関数の結果において null 値についてチェックします
すべての外部入力が検証されていることを確認します
変数を明示的に初期化します
異常な例外が正確に処理されていることを確認します

脆弱コード例

コピー

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
  void reassign(int *argument, int *p) {
    if (goodEnough(argument)) return;
    *argument = *p;
  }
  
  int *mymalloc() {
    int *res = malloc(sizeof(int));
    if (!res) return 0;
    *res = 0;
   return res;
 }
 
 void npd_func_call_might(int *argument) {
   int *p = mymalloc();
   if (someCondition()){
     p = f();
   }
   reassign(argument, p);
 }

8 行目の条件付きステートメントの結果によっては、null ポインターは関数 npd_func_call_might に渡される可能性があります。これは、15 行目の条件によっては逆参照される可能性があります。このタイプの脆弱性が原因で、予期しない結果や意図しない結果となる可能性があります。

修正コード例

コピー

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
  void reassign(int *argument, int *p) {
    if (goodEnough(argument)) return;
    *argument = *p;
  }
  
  int *mymalloc() {
    int *res = malloc(sizeof(int));
    if (!res) return 0;
    *res = 0;
   return res;
 }
 
 void npd_func_call_might(int *argument) {
   int *p = mymalloc();
   if (someCondition()){
     p = f();
   }
   if (p!= 0) reassign(argument, p);
 }

修正されたコードでは、*p は逆参照前に 18 行目で null についてチェックされます。

外部参考資料

セキュリティトレーニング

Secure Code Warrior が提供しているアプリケーションセキュリティトレーニング教材。

「Null Dereference (null 逆参照)」トレーニングビデオ - トレーニングサンプルを使用して自分のスキルをテストできます

拡張機能

このチェッカーは、Klocwork knowledge base (ナレッジベース) を利用して拡張できます。詳細については、C/C++ 解析のチューニングを参照してください。