ハードコードされた機密データ

機密データが文字列リテラルなどとしてコード内に露出される

このページをすべて展開する

説明

この欠陥は、機密性の高いデータが文字列リテラルなどとしてコード内で直接露出された場合に発生します。チェッカーは、特定のデータを機密性が高いとして識別し、パスワード暗号化関数などの特定の関数で使用されないようにします。

以下のデータは機密性が高い可能性があります。

データの型情報の機密性を示唆する関数
ホスト名

  • sethostname、setdomainname、gethostbyname、gethostbyname2、getaddrinfo、gethostbyname_r、gethostbyname2_r (文字列引数)

  • inet_aton、inet_pton、inet_net_pton、inet_addr、inet_network (文字列引数)

  • mysql_real_connect、 mysql_real_connect_nonblocking、mysql_connect (第 2 引数)

パスワード

  • CreateProcessWithLogonW、LogonUser (第 1 引数)

  • mysql_real_connect、 mysql_real_connect_nonblocking、mysql_connect (第 3 引数)

データベース

  • MySQL: mysql_real_connect、 mysql_real_connect_nonblocking、mysql_connect (第 4 引数)

  • SQLite: sqlite3_open、sqlite3_open16、sqlite3_open_v2 (第 1 引数)

  • PostgreSQL: PQconnectdb

  • Microsoft SQL:SQLDriverConnect (第 3 引数)

ユーザー名

  • getpw, getpwnam, getpwnam_r, getpwuid, getpwuid_r

ソルトcrypt、crypt_r (第 2 引数)
暗号化キーと初期化ベクトル

OpenSSL:

  • EVP_CipherInit、EVP_EncryptInit、EVP_DecryptInit (第 3 引数)

  • EVP_CipherInit_ex、EVP_EncryptInit_ex、EVP_DecryptInit_ex (第 4 引数)

シード

  • srand、srandom、initstate (第 1 引数)

  • OpenSSL: RAND_seed、RAND_add

リスク

ハードコードされた情報は、コードから生成されたバイナリから問い合わせることができます。

修正方法

機密情報のハードコーディングを回避します。

例

すべて展開する

// Typically, you include the header "mysql.h" with function and type declarations.
// In this example, only the required lines from the header are quoted.

typedef struct _MYSQL MYSQL;

MYSQL *mysql_real_connect(MYSQL *mysql,
                          const char *host, const char *user, const char *passwd,
                          const char *db, unsigned int port, const char *unix_socket,
                          unsigned long client_flag);

typedef void * DbHandle;
extern MYSQL *sql;

// File that uses functions from "mysql.h" 
const char *host = "localhost";
char *user = "guest";
char *passwd;

DbHandle connect_to_database_server(const char *db)
{
    passwd = (char*)"guest";
    return (DbHandle)
        mysql_real_connect (sql, host, user, passwd, db, 0, 0x0, 0);
}

この例では、引数の host (ホスト名)、user (ユーザー名)、および passwd (パスワード) が文字列リテラルで、コードで直接露出されます。

ASCII 文字列の生成されたバイナリを問い合わせると、この情報が公開されます。

修正 – 保護された構成ファイルから機密データを読み取る

1 つの修正方法として、構成ファイルからデータを読み取ります。次の修正例では、関数 connect_to_database_server_init を呼び出すことによって、保護された構成ファイルからホスト名、ユーザー名、およびパスワードがその引数に読み取られる可能性があります。

// Typically, you include the header "mysql.h" with function and type declarations.
// In this example, only the required lines from the header are quoted.

typedef struct _MYSQL MYSQL;

MYSQL *mysql_real_connect(MYSQL *mysql,
                          const char *host, const char *user, const char *passwd,
                          const char *db, unsigned int port, const char *unix_socket,
                          unsigned long client_flag);

typedef void * DbHandle;
extern MYSQL *sql;

// File that uses functions from "mysql.h" 

int connect_to_database_server_init(const char **host,
                                    const char **user,
                                    const char **passwd,
                                    const char **db);

DbHandle connect_to_database_server(const char *db)
{
    const char *host_from_cfg;
    const char *user_from_cfg;
    const char *passwd_from_cfg;
    const char *db_from_cfg;
    if (connect_to_database_server_init(&host_from_cfg,
                                        &user_from_cfg,
                                        &passwd_from_cfg,
                                        &db_from_cfg))
    {
        return (DbHandle)
            mysql_real_connect (sql, host_from_cfg, user_from_cfg, 
                        passwd_from_cfg, db_from_cfg,  0, 0x0, 0);
    }
    else
        return (DbHandle)0x0;
}

結果情報

グループ: セキュリティ
言語: C | C++
既定値: オフ
コマンド ライン構文: HARD_CODED_SENSITIVE_DATA
影響度: Medium

バージョン履歴

R2020a で導入

参考

トピック