Java, Taint et Sast: Qu'est-ce que c'est et pourquoi en avons-nous besoin?

PVS-Studio Java Analyzer : sécurité améliorée grâce à l'analyse des contaminations

Une partie importante du code côté serveur repose sur Java. Par conséquent, les applications Web basées sur Java doivent être robustes contre les vulnérabilités de sécurité. Cet article se concentre sur les tests de sécurité des applications statiques (SAST) en tant que mécanisme de défense crucial, en soulignant spécifiquement le rôle de l'analyse des souillures.

Comprendre l'objectif

Notre analyseur Java intègre désormais des fonctionnalités permettant de créer des règles de diagnostic pour identifier les données corrompues provenant de sources externes. Cette fonctionnalité, établie de longue date dans nos analyseurs C et C#, est désormais disponible pour Java. Cet article fournit un aperçu général de la détection des données corrompues et de ses avantages. Pour une exploration théorique plus approfondie, reportez-vous à l'article d'accompagnement de notre chef d'équipe Java (lien fourni).

Cette discussion est centrée sur les vulnérabilités courantes des applications Web, en se concentrant sur le Top 10 de l'OWASP.

Les vulnérabilités et leur impact

Les vulnérabilités des applications sont des failles exploitables pour perturber les opérations. Bien que diverses méthodes de test existent, SAST propose une approche proactive.

SAST : Détection précoce des vulnérabilités

SAST (Static Application Security Testing) analyse le code à la recherche de vulnérabilités potentielles, identifiées comme des « défauts » qui pourraient être exploitées par des attaquants. Le principal avantage de SAST est la détection précoce des vulnérabilités pendant le développement.

SAST et économies de coûts

Le coût de correction des vulnérabilités augmente de façon exponentielle à chaque étape de développement (les études du NIST le confirment). Traiter les vulnérabilités après la publication est beaucoup plus coûteux, demande du temps et des ressources aux développeurs et peut entraîner des dommages à la réputation et des pertes financières. SAST minimise ces coûts en identifiant les problèmes dès le début.

OWASP Top 10 : Une référence pour SAST

Le Top 10 de l'OWASP (Open Worldwide Application Security Project) répertorie les vulnérabilités des applications Web les plus critiques. Ce classement, basé sur des données réelles provenant de spécialistes de la sécurité, de programmes de bug bounty et de sociétés de développement, constitue une référence précieuse pour les solutions SAST. Le Top 10 OWASP 2021, issu de l'analyse de plus de 500 000 projets, est largement considéré comme une norme.

Examen des vulnérabilités : injection SQL

Examinons l'injection SQL, une vulnérabilité permettant aux attaquants d'injecter du code dans les requêtes de base de données. Cela peut être exploité lorsque les entrées de l'utilisateur sont directement utilisées dans des requêtes sans prétraitement ou validation approprié.

Considérons un site Web avec un formulaire de recherche d'article. Si l'entrée de l'utilisateur est directement concaténée dans une requête de base de données, le code malveillant peut être injecté. Par exemple, l'entrée ' drop table articles; -- pourrait supprimer l'ensemble du tableau des articles.

Exemple: requête SQL vulnérable

// Vulnerable code
String sql = "SELECT * FROM DEMO_TABLE WHERE field = '" + name + "'";

Mitigation: requêtes paramétrées

Pour empêcher l'injection SQL, utilisez des requêtes paramétrées:

// Secure code
String sql = "SELECT * FROM DEMO_TABLE WHERE field = ?";

Cette approche traite toutes les entrées comme des paramètres, empêchant l'exécution du code malveillant.

Terminologie clé:

• Données contaminées: Entrée externe potentiellement dangereuse.
• Source: Le point où les données entachées entrent dans l'application.
• Évier: Le point où les données contaminées peuvent causer des dommages.
• Saisie: Le processus de validation et de nettoyage des données externes.

au-delà de l'injection SQL

De nombreuses vulnérabilités partagent ce schéma, notamment la traversée de trajet, l'injection XSS, l'injection de notes NoSQL et l'injection de commandement du système d'exploitation.

Analyse de souillure: la solution

L'analyse de souillure suit le flux de données des sources aux éviers. Si des données non animées atteignent un puits, il est signalé comme une vulnérabilité potentielle.

lecture complémentaire

Un article plus détaillé sur la mise en œuvre de l'analyse de souillure est disponible.

Conclusion

L'intégration de l'analyse de souillure dans l'analyseur Java PVS-studio améliore considérablement ses capacités de sast. Le développement continu se concentre sur l'expansion des règles de diagnostic pour couvrir les 10 meilleures vulnérabilités de l'OWASP et au-delà. Essayez l'analyseur PVS-Studio aujourd'hui!

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!