계: Code Quality

코드 품질이 낮으면 예측할 수 없는 동작이 발생합니다. 사용자 입장에서는 사용 편의성이 떨어지는 것으로 나타나는 경우가 많습니다. 공격자에게는 예상치 못한 방법으로 시스템에 부담을 줄 수 있는 기회가 됩니다.

Unreleased Resource

Abstract

프로그램이 시스템 리소스를 해제하지 못할 수도 있습니다.

Explanation

프로그램이 시스템 리소스를 해제하지 못할 수도 있습니다.

리소스 누출은 최소한 두 가지 공통 원인이 있습니다.

- 오류 조건 및 기타 예외 상황.

- 프로그램의 어떤 부분이 리소스 해제를 담당하고 있는지에 대한 혼란

대부분의 공개되지 않은 리소스 문제는 일반적인 소프트웨어 안정성 문제를 일으킵니다. 하지만 공격자가 의도적으로 리소스 누출을 일으킬 수 있는 경우 공격자가 리소스 풀을 고갈시켜 DoS(Denial of Service) 공격을 실행할 수도 있습니다.

예제 1: 다음 메서드는 자신이 연 파일 핸들을 닫지 않습니다. StreamReader의 Finalize() 메서드는 결국 Close()를 호출하지만 Finalize() 메서드를 호출하기까지 시간이 얼마나 걸릴지 장담할 수 없습니다. 사실, Finalize()의 호출 여부도 장담할 수 없습니다. 사용량이 많은 환경에서는 이로 인해 VM이 사용 가능한 파일 핸들을 모두 소진시키는 결과를 초래할 수도 있습니다.


private void processFile(string fName) {
	StreamWriter sw = new StreamWriter(fName);
	string line;
	while ((line = sr.ReadLine()) != null)
		processLine(line);
}

예제 2: 일반적인 조건에서 다음 코드는 데이터베이스 쿼리를 실행하고 데이터베이스가 반환한 결과를 처리한 다음 할당된 SqlConnection 개체를 닫습니다. 하지만 SQL을 실행하거나 결과를 처리하는 동안 예외 사항이 발생하면 SqlConnection 개체는 닫히지 않게 됩니다. 이런 일이 자주 발생하면 데이터베이스에 사용 가능한 커서가 부족하게 되어 SQL 쿼리를 더 이상 실행할 수 없습니다.


        ...
	SqlConnection conn = new SqlConnection(connString);
	SqlCommand cmd = new SqlCommand(queryString);
	cmd.Connection = conn;
	conn.Open();
	SqlDataReader rdr = cmd.ExecuteReader();
	HarvestResults(rdr);
	conn.Connection.Close();
	...

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 772

[2] Standards Mapping - Common Weakness Enumeration Top 25 2019 [21] CWE ID 772

[3] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001094

[4] Standards Mapping - Motor Industry Software Reliability Association (MISRA) C Guidelines 2012 Rule 22.1

[5] Standards Mapping - Motor Industry Software Reliability Association (MISRA) C Guidelines 2023 Rule 22.1

[6] Standards Mapping - Motor Industry Software Reliability Association (MISRA) C++ Guidelines 2023 Rule 6.8.1

[7] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-5 Denial of Service Protection (P1), SC-24 Fail in Known State (P1)

[8] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-5 Denial of Service Protection, SC-24 Fail in Known State

[9] Standards Mapping - OWASP Top 10 2004 A9 Application Denial of Service

[10] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.9

[11] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.6

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.6

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.6

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.6

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[16] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 6.2.4

[17] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[18] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection

[19] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection, Control Objective C.3.3 - Web Software Attack Mitigation

[20] Standards Mapping - SANS Top 25 2009 Risky Resource Management - CWE ID 404

[21] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP6080 CAT II

[22] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP6080 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP6080 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP6080 CAT II

[25] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP6080 CAT II

[26] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP6080 CAT II

[27] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP6080 CAT II

[28] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-002400 CAT II

[29] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-002400 CAT II

[30] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-002400 CAT II

[31] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-002400 CAT II

[32] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-002400 CAT II

[33] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-002400 CAT II

[34] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-002400 CAT II

[35] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-002400 CAT II

[36] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-002400 CAT II

[37] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-002400 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-002400 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-002400 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-002400 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-002310 CAT I, APSC-DV-002400 CAT II

[42] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-002310 CAT I, APSC-DV-002400 CAT II

[43] Standards Mapping - Web Application Security Consortium Version 2.00 Denial of Service (WASC-10)

[44] Standards Mapping - Web Application Security Consortium 24 + 2 Denial of Service

desc.controlflow.dotnet.unreleased_resource

Abstract

프로그램이 시스템 리소스를 해제하지 못할 수도 있습니다.

Explanation

프로그램이 시스템 리소스를 해제하지 못할 수도 있습니다.

리소스 누출은 최소한 두 가지 공통 원인이 있습니다.

- 오류 조건 및 기타 예외 상황.

- 프로그램의 어떤 부분이 리소스 해제를 담당하고 있는지에 대한 혼란

대부분의 공개되지 않은 리소스 문제는 일반적으로 소프트웨어 안정성 문제를 일으킵니다. 하지만 공격자가 의도적으로 리소스 누출을 일으킬 수 있는 경우 공격자가 리소스 풀을 고갈시켜 DoS(Denial of Service)를 실행할 수도 있습니다.

예제 1: 다음 함수는 오류 발생 시 열린 파일 핸들을 닫지 않습니다. 프로세스가 수명이 긴 경우 프로세스에서 파일 핸들 부족이 발생할 수 있습니다.


int decodeFile(char* fName)
{
    char buf[BUF_SZ];
    FILE* f = fopen(fName, "r");

    if (!f) {
        printf("cannot open %s\n", fName);
        return DECODE_FAIL;
    } else {
        while (fgets(buf, BUF_SZ, f)) {
            if (!checkChecksum(buf)) {
              return DECODE_FAIL;
            } else {
              decodeBlock(buf);
            }
        }
    }
    fclose(f);
    return DECODE_SUCCESS;
}