界: Environment

このセクションには、ソースコード以外のものでも、作成中の製品のセキュリティにとって重要なものがすべて含まれています。この分野が対象とする問題は、ソースコードに直接関係しないため、この分野の他の部分と分けました。

J2EE Misconfiguration: Duplicate Servlet Mapping

Java/JSP

Abstract

同じ URL パターンに対して複数のサーブレットマッピングが存在します。サーブレットマッピングの重複は、デバッグコードが残っているか、誤植を示していることがよくあります。

Explanation

サーブレットマッピングの重複には意味がありません。複数のサーブレットマッピングで同じ URL パターンが使用されていても、最後のエントリのみが適用されるためです。

例 1: 次の例では、2 つの異なるサーブレットマッピングで、URL パターン /servletA/* が使用されます。


<servlet-mapping>
    <servlet-name>ServletA</servlet-name>
    <url-pattern>/servletA/*</url-pattern>
</servlet-mapping>
<servlet-mapping>
    <servlet-name>ServletB</servlet-name>
    <url-pattern>/servletA/*</url-pattern>
</servlet-mapping>

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 684

[2] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[3] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[4] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[5] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[6] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)

desc.config.java.j2ee_misconfiguration_duplicate_servlet_mapping