Code Correctness: Erroneous Class Compare

Abstract

根據物件的類別名稱來判定物件類型可能會導致意想不到的行為或讓攻擊者注入惡意的類別。

Explanation

攻擊者可能故意複製類別名稱，來迫使程式執行惡意程式碼。因此，使用類別名稱來識別類型並不適合，所以不應據此對特定物件授予信任。

範例 1：以下程式碼根據物件類別名稱來判斷是否信任來自 inputReader 物件的輸入。如果一個攻擊者能提供執行惡意指令的 inputReader 實作，這個程式碼將無法區分物件是否為惡意版本。


if (inputReader.GetType().FullName == "CompanyX.Transaction.Monetary")
{
   processTransaction(inputReader);
}

References

[1] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1

[2] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 3

[3] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[4] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[5] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.dotnet.code_correctness_erroneous_class_compare

Abstract

根據物件的類別名稱來判定物件類型可能會導致意想不到的行為或讓攻擊者插入惡意的類別。

Explanation

攻擊者可能故意複製類別名稱，來迫使程式執行惡意程式碼。因此，使用類別名稱來識別類型並不適合，所以不應據此對特定物件授予信任。

範例 1： 以下程式碼根據物件類別名稱來判斷是否信任來自 inputReader 物件的輸入。如果一個攻擊者能提供執行惡意指令的 inputReader 實作，這個程式碼將無法區分物件是否為惡意版本。


if (inputReader.getClass().getName().equals("com.example.TrustedClass")) {
   input = inputReader.getInput();
   ...
}

References

[1] OBJ09-J. Compare classes and not class names CERT

[2] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1

[3] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 3

[4] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[5] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[6] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.java.code_correctness_erroneous_class_compare

Abstract

根據物件的類別名稱判斷物件的類型時，可能會導致意外行為，或允許攻擊者注入惡意類別。

Explanation

攻擊者可能故意複製類別名稱，來迫使程式執行惡意程式碼。因此，使用類別名稱來識別類型並不適合，所以不應據此對特定物件授予信任。

範例 1： 以下程式碼根據物件類別名稱來判斷是否信任來自 inputReader 物件的輸入。如果一個攻擊者能提供執行惡意指令的 inputReader 實作，這個程式碼將無法區分物件是否為惡意版本。


if (inputReader::class.qualifiedName == "com.example.TrustedClass") {
   input = inputReader.getInput()
   ...
}

References

[1] OBJ09-J. Compare classes and not class names CERT

[2] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1

[3] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 3

[4] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[5] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[6] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.kotlin.code_correctness_erroneous_class_compare