System Information Leak: Incomplete Servlet Error Handling

Se um Servlet não conseguir capturar todas as exceções, ele poderá revelar informações de depuração que ajudarão um adversário a formar um plano de ataque.

Quando um Servlet lança uma exceção, a resposta de erro padrão do contêiner do Servlet retornada ao usuário normalmente inclui informações de depuração. Essas informações são de grande valor para um invasor. Por exemplo, um rastreamento de pilha pode mostrar ao invasor uma string de consulta SQL malformada, o tipo de banco de dados em uso e a versão do contêiner do aplicativo. Essas informações permitem que o invasor intencione vulnerabilidades conhecidas nesses componentes.

Exemplo 1: No método a seguir, uma falha de pesquisa de DNS fará com que o Servlet lance uma exceção.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String ip = req.getRemoteAddr();
    InetAddress addr = InetAddress.getByName(ip);
    ...
    out.println("hello " + addr.getHostName());
}

Exemplo 2: O seguinte método lançará uma NullPointerException se o parâmetro "name" não fizer parte da solicitação.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String name = getParameter("name");
    ...
    out.println("hello " + name.trim());
}