web-dev-qa-db-fra.com

Erreur Fortify sur injection JSON en Java

Je reçois SUBSCRIPTION_JSON du client que je convertis en chaîne, puis en le définissant en objet modèle à l'aide de la bibliothèque gson. En exécutant le code sur la sécurité Fortify, il me donne une erreur d’injection Json sur le code ci-dessous avec le message suivant:

Voici l'erreur:

On line 159 of ActionHelper.Java, the method jsonToObject() writes unvalidated input into JSON. This call could allow an attacker to inject arbitrary elements or attributes into the JSON entity.The method writes unvalidated input into JSON. This call could allow an attacker to inject arbitrary elements or attributes into the JSON entity.

Explanation
JSON injection occurs when:

1. Data enters a program from an untrusted source.

In this case the data enters at getString() in **SubscriptionAction.Java** at line 355.


2. The data is written to a JSON stream.

In this case the JSON is written by fromJson() in **ActionHelper.Java** at line 159.

SubscriptionAction.Java

final String subscriptionJson = subscriptionForm.getString(SUBSCRIPTION_JSON);

ActionHelper.Java 

public static <T> T jsonToObject(final String jsonString, final Class<T> className) {
        T object = null;
        if (StringUtils.isNotBlank(jsonString)) {
            final Gson gson = (Gson) BeanLocator.getInstance().getBean(GSON);
            object = gson.fromJson(jsonString, className);
        }
        return object;
    }

SUBSCRIPTION_JSON-> 

{
    "subscriptions": [{
        "attributeId": "1",
        "items": [{
            "strId": "ALL",
            "nodeType": "G"
        }, {
            "strId": "VO_ENTRY_TIMING_DELAY",
            "nodeType": "L"
        }, {
            "strId": "O_INVALID",
            "nodeType": "L"
        }, {
            "strId": "O_LINE_INVALID",
            "nodeType": "L"
        }, {
            "strId": "V_INVALID",
            "nodeType": "L"
        }, {
            "strId": "V_ADDRESS_INVALID",
            "nodeType": "L"
        }]
    }, {
        "attributeId": "2001",
        "items": [{
            "strId": "OSTBU",
            "nodeType": "L"
        }]
    }]
}
javajsonsecuritygsonfortify
4
shrey mathuria

Vous devez valider le JSON reçu pour vous assurer qu’il contient exactement le contenu attendu avant de le définir sur Objet modèle. Vous pouvez implémenter un validateur qui vérifie le json avec un modèle de champs/format attendu, par exemple.

0
JuliaVI