LDAP-Injektion Problem in checkmarx:

Question

Ich versuche, eine App zu entwickeln und scannte meinen Code mit checkmarx und bekam Problem unter - LDAP-Injektion in der folgenden Methode.

Update(request.getparameter("userID")) 

rufen wir diese Methode und unter Verwendung von request.getParameter(), um den entsprechenden Wert zu erhalten, checkmarx Problem bei request.getParameter zeigt ("Benutzer-ID"),

Problem Beschreibung ist " der Wert dieses Element fließt dann durch den Code ohne korrekt desinfiziert werden oder validiert und wird schließlich in einer LDAP-Abfrage in Methode“

so finden Sie eine der Möglichkeiten, habe ich versucht,

String userID = request.getparameter("userID"); 
if(userID == null && userID.isEmpty){ 
    throw new ServletException(); 
} 
else 
    Update(userID); 

mit den obigen Änderungen wird auch das Problem nicht gelöst.

Haben Sie eine Idee, dieses Problem zu lösen?

Answer 1

Sieht so aus, als ob Checkmarx Ihren Code als anfällig für LDAP-Injection markiert.

Was ist LDAP-Injektion?

Unzulässige Neutralization of Special Element verwendet, in einer LDAP-Abfrage ('LDAP Injection')

Die Software konstruiert alle oder einen Teil einer LDAP-Abfrage unter Verwendung von extern beeinflußten Eingabe von einer stromaufwärtigen Komponente, aber Es neutralisiert oder neutralisiert keine speziellen Elemente, die die beabsichtigte LDAP-Abfrage ändern könnten, wenn sie an eine Downstream-Komponente gesendet werden.

Zitat von CWE-90: Improper Neutralization of Special Elements used in an LDAP Query ('LDAP Injection') genommen

Wie zu mildern?

Der Schutz vor LDAP-Injektionen erfordert eine genaue Codierung und sichere Serverkonfiguration. Front-End-Anwendungen sollten die Eingabeüberprüfung durchführen und alle potenziell schädlichen Symbole einschränken. Entwickler können reguläre Ausdrücke verwenden, um nicht vertrauenswürdige Eingaben zu überprüfen. Der folgende reguläre Ausdruck kann den Umfang von möglichen Angriffen begrenzen, indem sie nur Zahlen und Buchstaben erlaubt:

/[^0-9a-z]/i 

Filtration Führen von abgehenden Daten als zusätzliche Sicherheitsstufe. Geben Sie keine Informationen aus, die nicht mit der Funktionalität der Anwendung zusammenhängen. Implementieren Sie die korrekte Zugriffssteuerung für Daten im LDAP-Verzeichnis , legen Sie die entsprechenden Berechtigungen für Benutzerobjekte fest, und deaktivieren Sie den anonymen Zugriff auf Verzeichnisobjekte durch .

Zitat und Beispiel aus LDAP Injection Vulnerability | CWE-90 Weakness | Exploitation and Remediation