Reino: API Abuse

Uma API é um contrato entre quem chama e o que se chama. As formas mais comuns de abuso de API ocorrem quando o responsável pela chamada não respeita sua parte do contrato. Por exemplo, se um programa não chama chdir() após chamar chroot(), ele viola o contrato que especifica como alterar o diretório raiz ativo de forma segura. Outro bom exemplo de abuso de biblioteca é esperar que o elemento chamado retorne informações confiáveis de DNS ao responsável pela chamada. Nesse caso, o responsável pela chamada abusa a API do elemento chamado ao fazer certas suposições sobre seu comportamento (isto é, que o valor de retorno pode ser usado para fins de autenticação). A outra parte também pode violar o contrato entre quem chama e o que se chama. Por exemplo, se um programador definir SecureRandom como subclasse e retornar um valor não aleatório, o contrato será violado.

Code Correctness: Negative Content-Length

Java/JSP
JavaScript/TypeScript

Abstract

O cabeçalho Content-Length é definido como negativo.

Explanation

Na maioria dos casos, a configuração do cabeçalho Content-Length de um pedido indica que um programador está interessado na
comunicação do tamanho dos dados POST enviados ao servidor. No entanto, esse cabeçalho deverá ser 0 ou um
número inteiro positivo.

Exemplo 1: O código a seguir definirá um Content-Length incorreto.


  URL url = nova URL("http://www.exemplo.com");
  HttpURLConnection huc = (HttpURLConnection)url.openConnection();
  huc.setRequestProperty("Content-Length", "-1000");

References

[1] Standards Mapping - CIS Azure Kubernetes Service Benchmark 1.0

[2] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 5.0

[3] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 3

[4] Standards Mapping - CIS Google Kubernetes Engine Benchmark normal

[5] Standards Mapping - Common Weakness Enumeration CWE ID 398

[6] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.6

[7] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.6

[8] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.6

[9] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.6

desc.structural.java.api_abuse_code_correctness_negative_content_length

Abstract

O cabeçalho Content-Length é definido como negativo.

Explanation

Na maioria dos casos, a configuração do cabeçalho Content-Length de uma solicitação indica que um programador está interessado na
comunicação do tamanho dos dados POST enviados para o servidor. No entanto, esse cabeçalho deverá ser 0 ou um
número inteiro positivo.

Exemplo 1: Este código define o cabeçalho Content-Length incorretamente como negativo:


  xhr.setRequestHeader("Content-Length", "-1000");