Code Correctness: Erroneous Class Compare

Abstract

根据对象的类名称确定对象类型会导致意外行为或致使攻击者注入恶意的类。

Explanation

攻击者可以故意复制类名称，使程序执行恶意代码。因此，类名称并非合适的类型标识符，且不应用作向给定对象授予信任的基础。

示例 1：以下代码根据 inputReader 对象的类名称确认是否信任该对象的输入。如果攻击者能够提供一种执行恶意命令的 inputReader 实现方式，则此代码将无法区分该对象是善意的还是恶意的。


if (inputReader.GetType().FullName == "CompanyX.Transaction.Monetary")
{
   processTransaction(inputReader);
}

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.dotnet.code_correctness_erroneous_class_compare

Abstract

根据对象的类名称确定对象类型会导致意外行为或致使攻击者注入恶意的类。

Explanation

攻击者可以故意复制类名称，使程序执行恶意代码。因此，类名称并非合适的类型标识符，且不应用作向给定对象授予信任的基础。

示例 1： 以下代码根据 inputReader 对象的类名称确认是否信任该对象的输入。如果攻击者能够提供一种执行恶意命令的 inputReader 实现方式，则此代码将无法区分该对象是善意的还是恶意的。


if (inputReader.getClass().getName().equals("com.example.TrustedClass")) {
   input = inputReader.getInput();
   ...
}

References

[1] OBJ09-J. Compare classes and not class names CERT

[2] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.java.code_correctness_erroneous_class_compare

Abstract

基于对象的类名称确定对象的类型可能会导致意外行为或允许攻击者注入恶意类。

Explanation

攻击者可以故意复制类名称，使程序执行恶意代码。因此，类名称并非合适的类型标识符，且不应用作向给定对象授予信任的基础。

示例 1： 以下代码根据 inputReader 对象的类名称确认是否信任该对象的输入。如果攻击者能够提供一种执行恶意命令的 inputReader 实现方式，则此代码将无法区分该对象是善意的还是恶意的。


if (inputReader::class.qualifiedName == "com.example.TrustedClass") {
   input = inputReader.getInput()
   ...
}

References

[1] OBJ09-J. Compare classes and not class names CERT

[2] Standards Mapping - Common Weakness Enumeration CWE ID 486

desc.dataflow.kotlin.code_correctness_erroneous_class_compare