System Information Leak: Incomplete Servlet Error Handling

Si un servlet no puede filtrar todas las excepciones, podría revelar información de depuración que ayudaría a un adversario a elaborar un plan de ataque.

Cuando un servlet lanza una excepción, la respuesta de error predeterminada que envía el contenedor de servlet al usuario incluye normalmente información de depuración. Esta información es de gran valor para un atacante. Por ejemplo, un seguimiento de pila puede mostrar al atacante una cadena de solicitud SQL con estructura incorrecta, el tipo de base de datos que se utiliza y la versión del contenedor de aplicaciones. Esta información permite al atacante centrarse en vulnerabilidades conocidas en estos componentes.

Ejemplo 1: en el método siguiente un error de búsqueda DNS provocará que el servlet lance una excepción.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String ip = req.getRemoteAddr();
    InetAddress addr = InetAddress.getByName(ip);
    ...
    out.println("hello " + addr.getHostName());
}

Ejemplo 2: el método siguiente lanzará una NullPointerException si el parámetro "nombre" no forma parte de la solicitud.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String name = getParameter("name");
    ...
    out.println("hello " + name.trim());
}