EN JP CN

SV.PASSWD.HC.EMPTY

SV.PASSWD.HC.EMPTY

このエラーは、パスワードを受け付けるメソッドまたは暗号化を実行するメソッドに空の文字列が到達した場合に発生します。

脆弱性とリスク

空のパスワードは、システムを攻撃するための容易な方法となります。

Klocwork セキュリティ脆弱性 (SV) チェッカーは、潜在的に危険なデータを生成する呼び出しを特定します。このような呼び出しは安全でないソースと考えられます。ユーザーは攻撃者になる可能性があり、ヒューマンエラーを取り込む可能性があるため、安全でないソースはユーザーが指定した任意のデータである可能性があります。

軽減と防止

空のパスワード、特に、ハードコードされた空のパスワードを使用しないようにします。

例 1

13     public static void main(String[] args) throws SQLException {
14         Properties info = new Properties();
15         info.setProperty("user", "root");
16         info.setProperty("password", "");
17         DriverManager.getConnection("jdbc:mysql://localhost:3307", info);
18     }

SV.PASSWD.HC.EMPTY が 16 行目に対して報告されています。 空のパスワードをアプリケーションに残すことは、重大なセキュリティリスクです。

拡張機能

このチェッカーは、Klocwork knowledge base (ナレッジベース) を利用して拡張できます。詳細については、Java 解析のチューニングを参照してください。