界: API Abuse

API は、呼び出し元と呼び出し先の間のコントラクトです。最も一般的な API の不正使用の形態は、呼び出し元がこのコントラクトの終わりを守らないことによって発生します。たとえば、プログラムが chroot() を呼び出した後に chdir() を呼び出すのに失敗すると、アクティブなルート ディレクトリを安全に変更する方法を指定したコントラクトに違反することになります。ライブラリの悪用のもう 1 つの良い例は、呼び出し先が信頼できる DNS 情報を呼び出し元に返すことを期待することです。この場合、呼び出し元は、呼び出し先の API の動作 (戻り値が認証目的に使用できること) についてある種の仮定をすることで、呼び出し先の API を悪用します。また、相手側から、呼び出し元と呼び出し先のコントラクトを違反することもできます。例えば、コーダーが SecureRandom をサブクラス化し、ランダムではない値を返した場合、コントラクトに違反することになります。

5 見つかった項目
脆弱性

EJB Bad Practices: Use of AWT/Swing

Abstract
プログラムは AWT/Swing を使用しているので、Enterprise JavaBeans 仕様に違反しています。
Explanation
Enterprise JavaBeans 仕様に従い、bean を提供する場合は、bean が移植性を持ち、あらゆる EJB コンテナで整合性のある動作をするように作成された一連のプログラミングガイドラインに従う必要があります [1]。

この場合、プログラムは次の EJB ガイドラインに違反しています。

「enterprise bean は、情報を画面に出力する、またはキーボードから情報を入力するために、AWT 機能を使用してはなりません。」

この仕様が正当化される要件は次のとおりです。

「ほとんどのサーバーは、アプリケーションとサーバーに接続されたキーボード/ディスプレイとの直接相互作用を許可しません。」
References
[1] The Enterprise JavaBeans 2.1 Specification Sun Microsystems
[2] Standards Mapping - Common Weakness Enumeration CWE ID 575
desc.structural.java.ejb_bad_practices_use_of_awt_swing

EJB Bad Practices: Use of Class Loader

Abstract
プログラムはクラスローダーを使用しているので、Enterprise JavaBeans 仕様に違反しています。
Explanation
Enterprise JavaBeans 仕様に従い、bean を提供する場合は、bean が移植性を持ち、あらゆる EJB コンテナで整合性のある動作をするように作成された一連のプログラミングガイドラインに従う必要があります [1]。

この場合、プログラムは次の EJB ガイドラインに違反しています。

「enterprise bean はクラスローダーの作成、現在のクラスローダーの取得、コンテキストクラスローダーの設定、セキュリティマネージャの設定、新規セキュリティマネージャの設定、JVM の停止、または入力、出力、エラーストリームの変更を行ってはなりません。」

この仕様が正当化される要件は次のとおりです。

「これらの関数は EJB コンテナ専用です。enterprise bean にこれらの関数の使用を許可すると、セキュリティを危険にさらすだけでなく、ランタイム環境を適切に管理するコンテナの能力が低減するおそれがあります。」
References
[1] The Enterprise JavaBeans 2.1 Specification Sun Microsystems
[2] Standards Mapping - Common Weakness Enumeration CWE ID 578
desc.structural.java.ejb_bad_practices_use_of_classloader

EJB Bad Practices: Use of java.io

Abstract
プログラムは java.io パッケージを使用しているので、Enterprise JavaBeans 仕様に違反しています。
Explanation
Enterprise JavaBeans 仕様に従い、bean を提供する場合は、bean が移植性を持ち、あらゆる EJB コンテナで整合性のある動作をするように作成された一連のプログラミングガイドラインに従う必要があります [1]。

この場合、プログラムは次の EJB ガイドラインに違反しています。

「enterprise bean は File System 内のファイルとディレクトリにアクセスするために、java.io パッケージを使用してはいけません。」

この仕様が正当化される要件は次のとおりです。

「File System API はデータアクセスを行うための業務コンポーネントに適していません。業務コンポーネントには、データを格納するために JDBC などのリソースマネージャ API を使用してください。」
References
[1] The Enterprise JavaBeans 2.1 Specification Sun Microsystems
[2] Standards Mapping - Common Weakness Enumeration CWE ID 576
desc.structural.java.ejb_bad_practices_use_of_java_io

EJB Bad Practices: Use of Sockets

Abstract
プログラムはソケットを使用しているので、Enterprise JavaBeans 仕様に違反しています。
Explanation
Enterprise JavaBeans 仕様に従い、bean を提供する場合は、bean が移植性を持ち、あらゆる EJB コンテナで整合性のある動作をするように作成された一連のプログラミングガイドラインに従う必要があります [1]。

この場合、プログラムは次の EJB ガイドラインに違反しています。

「enterprise bean は、ソケットで接続リクエストを行う、ソケットで接続を確立する、またはソケットをマルチキャストに使用してはなりません。」

この仕様が正当化される要件は次のとおりです。

「EJB アーキテクチャにより、enterprise bean インスタンスはネットワークソケットクライアントにすることができますが、ネットワークサーバーにすることはできません。インスタンスをネットワークサーバーにすることを許可すると、EJB クライアントに使用される enterprise bean の基本関数に抵触します。」
References
[1] The Enterprise JavaBeans 2.1 Specification Sun Microsystems
[2] Standards Mapping - Common Weakness Enumeration CWE ID 577
desc.structural.java.ejb_bad_practices_use_of_sockets

EJB Bad Practices: Use of Synchronization Primitives

Abstract
プログラムはスレッド同期プリミティブを使用して Enterprise JavaBeans 仕様に違反しています。
Explanation
Enterprise JavaBeans 仕様に従い、bean を提供する場合は、bean が移植性を持ち、あらゆる EJB コンテナで整合性のある動作をするように作成された一連のプログラミングガイドラインに従う必要があります [1]。

この場合、プログラムは次の EJB ガイドラインに違反しています。

「enterprise bean は複数のインスタンスの実行を同期させるために、スレッド同期プリミティブを使用してはいけません。」

この仕様が正当化される要件は次のとおりです。

「EJB コンテナの中には単一の JVM を使用してすべての enterprise bean のインスタンスを実行するものもあれば、複数の JVM にインスタンスを配布するものもあるため、このルールでランタイムのセマンティクスを確実に一定に保つ必要があります。」
References
[1] The Enterprise JavaBeans 2.1 Specification Sun Microsystems
[2] THI01-J. Do not invoke ThreadGroup methods CERT
[3] Standards Mapping - Common Weakness Enumeration CWE ID 574
desc.structural.java.ejb_bad_practices_use_of_synchronization_primitives