Reino: Code Quality

Una mala calidad del código lleva a un comportamiento no predecible. Desde la perspectiva de un usuario, muchas veces también supone una usabilidad limitada. Pero para un atacante es una oportunidad para atacar al sistema de formas insospechadas.

Poor Style: Variable Never Used

C/C++
Solidity

Abstract

Esta variable no se utiliza nunca.

Explanation

Esta variable no se utiliza nunca. Es probable que la variable sea simplemente residual, pero también es posible que la variable sin utilizar muestre un error.

Ejemplo: En el código siguiente, un error de copiar y pegar ha provocado que se utilice dos veces un iterador de bucle (i). La variable j no se utiliza nunca.


  int i,j;

  for (i=0; i < outer; i++) {
    for (i=0; i < inner; i++) {
      ...

References

[1] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1

[2] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 4

[3] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[4] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[5] Standards Mapping - Common Weakness Enumeration CWE ID 563

[6] Standards Mapping - Motor Industry Software Reliability Association (MISRA) C++ Guidelines 2008 Rule 0-1-3

[7] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3050 CAT II

[8] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3050 CAT II

[9] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3050 CAT II

[10] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3050 CAT II

[11] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3050 CAT II

[12] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3050 CAT II

[13] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3050 CAT II

[14] Standards Mapping - Smart Contract Weakness Classification SWC-131

desc.structural.cpp.poor_style_variable_never_used

Abstract

El contrato define una variable, pero nunca la usa.

Explanation

Solidity permite declarar variables y nunca utilizarlas y, aunque la mayoría de las veces esto no apunta directamente a una vulnerabilidad de seguridad, es una mala práctica. Puede provocar ruido y consumo innecesario de gas debido al aumento de ciclos de cálculo necesarios.

Ejemplo 1: El siguiente código declara la variable var1 de tipo A, pero nunca la usa.


contract Base {
    struct A { uint a; }
}

contract DerivedA is Base {
    A var1 = A(1);
    int internal j = 500;

    function call(int a) public {
        assign1(a);
    }

    function assign3(A memory x) public returns (uint) {
        return g[1] + x.a + uint(j);
    }
}