ルールの更新

ASoC の最近のルール更新

2026 年 7 月 20 日の新機能

新規ルール。


言語	CWE	説明
C#	CWE-22	delete、rename、mkdir などのノイズの多いファイル・パターンを回避します。これらはノイズが多く、パス・トラバーサルの脆弱性を示すものではありません。
	CWE-94	RazorLight テンプレートのコンパイルにおけるサーバー・サイド・テンプレート・インジェクション (SSTI) の脆弱性を検出します。ルールは、適切なサニタイズまたは検証を行わずに、信頼できないユーザー入力が CompileTemplate メソッドに渡されるかどうかを調べます。¹
	CWE-352	ASP.NET Core アプリケーションで不足している CSRF 保護を検出します。このルールは、コントローラー・アクションまたは偽造防止サービスのグローバル設定に [ValidateAntiForgeryToken] 属性が存在するかどうかをチェックします。どちらも存在しない場合は、CSRF 攻撃に対して脆弱な可能性があるアクションとしてフラグを付けます。¹
	CWE-918	HttpClient の使用におけるサーバー・サイド・リクエスト・フォージェリー (SSRF) パターンを検出します。このルールは、適切な検証やホワイトリスト化を行わずに、HttpClient リクエストの URL を構築するために使用されている信頼できないユーザー入力をチェックします。¹
	CWE-1275	Secure フラグなしで SameSiteMode.None で設定された Cookie をチェックします。この設定により、クロスサイト・リクエスト・フォージェリー (CSRF) の脆弱性が生じる可能性があります。¹
IaC	CWE-1328	Dockerfile で変数をベース・イメージとしてフラグ付けすることを回避します。これは、安全でないベース・イメージ・バージョンを検出する際に誤検出を引き起こす可能性があるためです。
Java	CWE-22	パス・トラバーサルの問題に対するいくつかの API の適用範囲を拡大しました。 FileSystemUtils.deleteRecursively Files.createDirectories Files.move Files.deleteIfExists Files.write Files.writeString 新規 File File.delete File.mkdir File.mkdirs File.listFiles File.renameTo
	CWE-89	Java コードにおける SQL インジェクション検出のノイズを低減し、高リスク・パターンと既知の脆弱な構造に重点を置きます。
	CWE-489	出力をリダイレクトする引数を指定して printStackTrace() のカバー範囲を拡張しました
	CWE-502	Java アプリケーションで ObjectInputStream を使用して、安全でない非直列化を検出します。ルールは、適切な検証またはフィルタリングを行わずに、信頼できないデータが ObjectInputStream に渡されていないかどうかをチェックします。¹
	CWE-552	Java アプリケーションでの getRequestDispatcher の使用に関する潜在的なセキュリティー問題を検出します。¹
PHP	CWE-22	誤検出を生成していたため、PHP のパス・トラバーサル検出から file_get_contents を削除します。
PHP	CWE-397	PHP が誤検出を生成していたため、ジェネリック例外がスローされたことを検出しません。
PLSQL	CWE-89	誤検出を生成し、SQL インジェクションの脆弱性を検出する際に重要な価値を提供しないため、「外部として」を探すルールを削除しました。
Python	CWE-78	Flask テンプレート・インジェクション検出では、より多くの文字列連結シナリオを考慮します。
	CWE-80	特に HTML 要素と変数の連結で使用される場合、Python アプリケーションで XSS の脆弱性を引き起こす可能性のある疑わしい書式文字列を探します。¹
	CWE-89	Python アプリケーションの潜在的な SQL インジェクションの脆弱性を検出します。特に、適切なパラメーター化やサニタイズを行わずに SQL クエリーで使用される可能性のある書式文字列を検索します。¹
	CWE-215	機密情報を公開し、セキュリティーの脆弱性につながる可能性がある debug=True での Flask アプリケーションの使用を検出します。¹
	CWE-295	SSL/TLS 接続の安全性を損なう可能性がある、verify=False により requests.get の使用を検出します。¹
	CWE-338	予測可能な出力や脆弱性につながる可能性のある、セキュリティーに配慮した操作のためのランダム・モジュールの使用を検出します。¹
	CWE-601	ユーザーが指定した要求パラメーター (例: request.args、request.form) を検証せずに redirect() 呼び出しに直接渡すことを検出します。これにより、攻撃者は被害者を任意の外部サイトにリダイレクトする URLを作成することができます。¹
	CWE-918	Python での安全でないリクエスト・ライブラリーの使用を検出します
	CWE-1336	Flask テンプレート・インジェクション検出で変数との文字列連結を説明します。
シークレット	CWE-284	日付を含みシークレットではない URL パターンを回避します。これは yaml ファイルに誤検出を生成していました。
シークレット	CWE-798	Python のシークレット検出におけるノイズを低減し、高エントロピーな文字列と Atlassian シークレットの既知のシークレット・パターンに重点を置いています。シークレット検出のノイズを低減します。名前に user も含まれ、キー == 値である、password、agent、または auth を含む値を回避します。これらはすべて秘密のパターンではない可能性が高いく、今では可能性のあるノイズとして避けられます。機密情報ではないことが多く、誤検出を生成する可能性があるため、シークレット検出のために TypeScript ファイル内の列挙を回避します。これらのキーワードは誤検知を生成する可能性があるため、secret、key、token などのノイズの多いキーワードをシークレット検出に使用しません。 yaml ファイル内の環境変数を回避します。潜在的なシークレット変数名として PSWD のチェックを追加しました

2026 年 7 月 7 日の新機能


言語	CWE	説明
C#	CWE-22	C# の複数の API を使用したパス・トラバーサルの検出に関する新規ルール
C#	CWE-601	リダイレクトの疑わしい使用を検出する新規ルール
PHP	CWE-98	疑わしいパターンで include を探したルールを削除しました。このルールは非常に高い率でノイズを発生させました。
PHP	CWE-473	埋め込み PHP 変数を検索するルールを削除。このルールは非常に高い率でノイズを発生させました。
Java	CWE-611	XXE ルールの調整により、より多くの XML パーサーにカバー範囲を拡大しました
シークレット	CWE-798	複数の言語と値でノイズを低減します。

2026 年 7 月 01 日の新機能


言語	CWE	説明
すべての言語	CWE-283	AI を使用して検出を改善しました。
	CWE-639
	CWE-640
	CWE-708
	CWE-770
	CWE-826
	CWE-837
	CWE-841

2026 年 6 月 18 日の新機能


言語	CWE	説明
CSS		CSS スキャナーのパフォーマンスが向上し、余分な時間を消費せずに非常に大きな HTML ファイルを処理できるようになりました。
Java	CWE-22	`java.nio.file.Path` および `java.io.File` API のカバー範囲を拡張しました。
	CWE-611	安全な設定検証のための `XMLReaderFactory.createXMLReader()` および `sxabuilder.setXMLReaderFactory` スタイルの呼び出しを適切に説明するようになりました。
		根本的な問題が Java で悪用されることはなく、ルールが安全なコードで誤検出を生成していたため、Java タイミング攻撃ルールを削除しました。
Javascript	CWE-521	JSON オブジェクトなどの JavaScript のオブジェクト・リテラルでの検出が向上しました。

2026 年 5 月 11 日の新機能

新規ルール


言語	CWE	説明
Delphi	CWE-120	`StrCopy`、`StrCat`、`StrPCopy`、`lstrcpy`、`lstrcat` が安全でない方法で使用されていないか確認します。¹
	CWE-143	書式文字列の使用に安全でない書式を確認します。¹
	CWE-295	SSL 証明書の検証を無効にする設定を確認します。¹
	CWE-33	RandSeed の使用を確認します。¹
	CWE-367	ファイルとの TOCTOU (Time of Check\Time of Use) 競合状態を確認します。¹
	CWE-522	暗号化キーが空または Null であるかどうかを確認します。¹
	CWE-522	データベース接続文字列でハードコードされた資格情報を確認します。¹
	CWE-539	Cookie の有効期限が非常に長いかどうかを確認します。¹
	CWE-693	廃止された X-XSS-Protection ヘッダーの使用を確認します。¹
	CWE-693	セキュア・コンパイラー・ディレクティブが無効になっているかどうかを確認します。¹
	CWE-703	不適切な例外の再スローを確認します。¹
	CWE-732	新しい Cookie に安全でないドメイン・エントリーがないかどうかを確認します。¹
	CWE-732	安全でない Cookie パス・エントリーを確認します。¹
Java	CWE-79	SpringBoot コントローラーで無害化されていないユーザー入力がないかどうか HTTP 応答を確認します。¹
	CWE-208	潜在的に機密の文字列によるタイミング攻撃がないかどうかを確認します。¹
	CWE-215	機密情報が公開されていないか SpringBoot 構成を確認します。¹
	CWE-338	脆弱な乱数発生ルーチンをチェックするルールが検索対象とする API を拡充しました
	CWE-502	XStream 非直列化の危険な使用がないかどうかを確認します。¹
	CWE-611	危険な XMLInputFactory 構成を確認するためのルールを拡充しました。
	CWE-614	新しい Cookie で欠落している安全フラグがないかどうかを確認します。¹
	CWE-749	Spring アプリケーションに安全でない RequestMapping 注釈がないかどうかを確認します。¹
	CWE-76	片方向ハッシュ・アルゴリズムで予測可能なソルトがないかどうかを確認します。¹
	CWE-922	HTTP セッションに機密データが保存されているかどうかを確認します。¹
	CWE-1275	Cookie に安全な SameSite 設定があるかどうかを確認します。¹
HTML	CWE-798	ハードコードされた値でハードコードされた入力要素タイプのパスワード・フィールドのチェックを追加しました。注: ソース・コード・スキャナーとハイブリッド・スキャナーの両方に追加しました。
シークレット	CWE-798	JWT ハードコードされた資格情報のチェックを追加しました。
シークレット	CWE-798	`Base64.encode` 呼び出しを通過するハードコードされた資格情報のチェックを追加しました。

2026-04-16

新規ルール。


言語	CWE	説明
Java	CWE-502	安全でない非直列化のチェックを追加しました。¹
	CWE-532	ログ記録の重要な欠陥に対するチェックを追加しました。¹
	CWE-1004	追加された Cookie に HttpOnly フラグが欠落しているかどうかの新しいチェック。¹
シークレット	CWE-798	ハード・コーディングされた資格情報をチェックする際のシークレット・パフォーマンスを最適化しました。

2026-04-07

新しい対象範囲。


言語	CWE	説明
Delphi (Object Pascal¹ を含む)	CWE-22	制限されたディレクトリーへのパス名の不適切な制限
	CWE-77	コマンドで使用される特殊要素の不適切な中立化
	CWE-78	OS コマンドで使用される特殊要素の不適切な中立化
	CWE-79	Web ページ生成時の入力の不適切な中立化 (クロスサイト・スクリプティング)
	CWE-89	SQL コマンドで使用される特殊要素の不適切な中立化
	CWE-94	コード生成の不適切な制御 (「コード・インジェクション」)
	CWE-99	リソース識別子の不適切な制御 (「リソース・インジェクション」)
	CWE-119	メモリー・バッファー境界内での不適切な操作制限
	CWE-120	入力サイズをチェックせずにコピーをバッファする
	CWE-200	情報公開
	CWE-266	不正な特権の割り当て
	CWE-295	不適切な証明書検証
	CWE-312	機密情報のクリア・テキストでの保存
	CWE-327	壊れたまたは危険な暗号化アルゴリズムの使用
	CWE-328	脆弱なハッシュの使用
	CWE-330	十分にランダムでない値の使用
	CWE-338	脆弱な疑似乱数発生ルーチン (PRNG) の使用
	CWE-345	データの信頼性の不適切な検証
	CWE-434	危険なタイプのファイルの無制限なアップロード
	CWE-497	権限のない制御領域へのシステム・データの漏えい
	CWE-502	信頼できないデータの非直列化。
	CWE-614	「Secure」属性のない HTTPS セッションの機密 Cookie
	CWE-643	XPath 式 (「Xpath インジェクション」) 内のデータの不適切な中立化
	CWE-760	予測可能なソルトを使用した片方向ハッシュの使用
	CWE-780	OAEP を使用しない RSA アルゴリズムの使用
	CWE-787	範囲外の書き込み
	CWE-798	ハードコーディングされた資格情報の使用
	CWE-942	信頼されていないドメインを使用した許可されたクロスドメイン・ポリシー
	CWE-1004	「HttpOnly」フラグがない、秘密情報の Cookie
MuleSoft¹	CWE-22	制限されたディレクトリーへのパス名の不適切な制限 (「パス・トラバーサル」)
	CWE-78	OS コマンドで使用される特殊要素の不適切な中立化 (「OS コマンド注入」)
	CWE-79	Web ページ生成時の入力の不適切な中立化 (「クロスサイト・スクリプティング」)
	CWE-89	SQL コマンドで使用される特殊要素の不適切な中立化 (「SQL 注入」)
	CWE-94	コード生成の不適切な制御 (「コード・インジェクション」)
	CWE-306	重大な機能に関する認証の欠落
	CWE-319	機密情報のクリア・テキスト送信
	CWE-326	不適切な暗号化強度
	CWE-338	脆弱な疑似乱数発生ルーチン (PRNG) の使用
	CWE-359	権限のないアクターへのプライベートな個人情報の漏えい
	CWE-497	権限のない制御領域への機密性の高いシステム情報の漏えい
	CWE-532	ログ・ファイルへの機密情報の挿入
	CWE-611	XML 外部エンティティー参照の不適切な制限
	CWE-942	信頼されていないドメインを使用した、許可されたクロスドメイン・セキュリティー・ポリシー
	CWE-1287	指定されたタイプの入力の不適切な検証
PHP	CWE-79	Web ページ生成時の入力の不適切な中立化 (「クロスサイト・スクリプティング」)
シークレット	CWE-798	ハードコーディングされた資格情報の使用
		スキャンを高速化するためにタイムアウトを 1 秒に設定します。
		ハードコードされたシークレットの `.properties` ファイルで追加します。

2026-02-10

新規ルール。


言語	CWE	説明
C#	CWE-215	機密情報を含む疑わしい変数がないかログ出力を確認します。¹
C#	CWE-397	新しい例外のスローや新しい SystemException のスローなど、安全ではない可能性がある、汎用的スローを探します。
Dart	CWE-943	NoSQL インジェクションを探します。¹
	CWE-338	eak psuedo 乱数を探します。¹
	CWE-116	File.writeAs スタイルの呼び出しを探します。¹
	CWE-79	安全でない可能性のある方法で Response.ok の呼び出しや類似の呼び出しが使用されていないか確認します。¹
	CWE-348	安全でない可能性のあるディレクトリーの一覧表を探します。¹
	CWE-78	Process.run が安全でない方法で使用されていないか確認します。¹
	CWE-89	SQL インジェクションの可能性がないか、query/execute/prepare スタイルの呼び出しをチェックします。¹
Java	CWE-215	機密情報を含む疑わしい変数がないかログ出力を確認します。¹
	CWE-397	例外のスローや Throwable のスローなど、安全ではない可能性がある、汎用的なスローを探します。
	CWE-396	catch (Exception e) や catch (Throwable t) などの汎用的な catch ブロックを探します。¹
JavaScript	CWE-397	"message" のスローなど、安全ではない可能性がある、汎用的なスローを探します。
JavaScript	CWE-80	@if パターンが使用されているが、handlebars テンプレートではない不具合が修正されました。
Perl	CWE-732	IO::File::open 呼び出しのカバレッジがより完全になりました。
PHP	CWE-397	Error("foo") のスローなど、安全でない可能性のある汎用的なスローを探します。
Python	CWE-397	raise BaseException のスローなど、安全でない可能性のある汎用的なスローを探します。
シークレット	CWE-798	ハードコードされたシークレットがないか秘密鍵を検証するチェックを追加しました。

また、CWE-319 に関する一般的なアップデートも行われています。ノイズが多すぎるため、コード内の危険な http スタイルの文字列を探すルールを削除しました。適切な場面では、JavaScript での fetch 呼び出しなど、ハイブリッド・スキャナーで使用されているオープンな通信の具体的なインスタンスを引き続き探します。

この CWE-319 への変更は、次の言語に影響します。

ASP
Golang
Groovy
Kotlin
Objective-C
PHP
Scala
Swift
C#
Dart
RPG
VB
Xamarin

2025-12-18


言語	CWE	説明
Andoid Java	CWE-319	新しい対象範囲: `usesCleartextTraffic` または `cleartextTrafficPermitted` が `AndroidManifest.xml` で安全ではない true に設定されていないか確認します。
C#	CWE-89	新しい対象範囲: += パターンと一部のストアド・プロシージャ・パターンを検出するように SQL インジェクションに対するチェックを追加しました。
	CWE-89	新しい対象範囲: ノイズを低減するために、正しいクエリーであるかを確認するより制約が高いチェックを追加しました。
	CWE-1004	ノイズ低減: http=true をチェックし、設定されている場合は検出を回避します。
Dart: Flutter (新しいフレームワークのサポート、新たな対象範囲)	CWE-35	ユーザーが制御できる可能性のあるパス引数を `MethodChannel` が使用していないかチェックします。
	CWE-78	`MethodChannel` 呼び出しに潜在的な OS インジェクションがないか探します。
	CWE-80	javascript が制限されていない状態 (危険) になっていないか `WebView` または `InAppWebView` をチェックします。
	CWE-89	sqflite flutter 固有の DB API をサポートします。
	CWE-117	デバッグ制御で囲まれていない print および同様のステートメントを検出します。これらの呼び出しは一般的に、デバッグ用ブランチ以外の実稼働コードで使用すべきではありません。
	CWE-312	`FlutterSecureStorage` がパスワードやその他セッション情報などの疑わしい個人情報を保存していないかをルールでチェックします。
	CWE-598	Navigator オブジェクトでクエリー・パラメーターが安全でない可能性のある方法で使用されていないか確認します。
	CWE-918	`MethodChannel.invokeMethod` でユーザーが制御可能な URL を SSRF 攻撃ベクトルとして探します。
JavaScript: Angular	CWE-80	ノイズ低減: @if テンプレートを使用していないことを確認します。
シークレット	CWE-798	新しい対象範囲: Tuleap のサポートが追加されました。
	CWE-798	新しい対象範囲: `equalsIgnoreCase` 呼び出し内にハードコードされたパスワードがないか確認します。
	CWE-798	ノイズ低減: コメントアウトされた C\C++ コードの検出結果をシークレット・スキャナーの検出結果として追加しないようにします。
Swift	CWE-1188	新しい対象範囲: `UIFileSharingEnabled` または `LSSupportsOpeningDocumentsInPlace` が安全でない true に設定されていないか info.plist ファイルをチェックします。

2025-11-06

新規ルール。


言語	CWE	説明
NodeJS	CWE-78	安全でない `child_process.exec` 呼び出しがないかチェックを追加しました。
Perl	CWE-89	パラメーター化されたステートメントに対して誤検出を生成していた SQL インジェクション・ルールのノイズを低減します。
Perl	CWE-732	入力として STDIN を使用して、オープン・コールにおけるノイズを低減します。
PHP	CWE-213	PHP コードに残存する phpinfo 呼び出しのチェックを追加しました。¹
PHP	CWE-89	`sqlite_escape_string` を使用して誤検出を検証する新しいチェックを追加しました。
TypeScript	CWE-94	ユーザーが制御できる可能性のある変数を含む eval に対するチェックを追加しました。

2025-10-07

新規ルール。


言語	CWE	説明
C#	CWE-89	SQLi 検出のノイズを低減します。
Java	CWE-209	コード内における `System.out` と `System.err` の使用状況 (本番コードから削除されるべきデバッグ・コール) をチェックします。¹
シークレット	CWE-1051	ノイズ低減: ハードコードされた IP アドレスのチェックで類似したバージョン番号を回避します
	CWE-798	Atlassian シークレット検出のノイズを低減します。
	CWE-798	シークレットのキーと値のペアに含まれるノイズを低減します。
	CWE-798	対象範囲を拡大し、ハードコードされたパスワードの一部として文字列に含まれる 1234 のパスワードを検出します。

2025-09-10

新規ルール。


言語	CWE	説明
CSS	CWE-79	`.css` ファイルのハードコードされた変数チェックで検出されたノイズを低減します。
Go	CWE-79	`fprintf` チェックで発生するノイズを低減します。
IaC Docker	CWE-22	DockerFile に追加されている機密パスをチェックします。¹
IaC Kubernetes	CWE-209	`.yaml` 構成ファイルに残されたスタック・トレース・コードのチェックが追加されました。¹
Java	CWE-78	`Runtime.getRunTime()` のインライン・コールを検索します。
	CWE-757	安全でない、および破損しているものに対するチェックリストを拡充しました。
	CWE-916	`PBEKeySpec` と `PBEParameterSpec` の脆弱な反復回数をチェックします。¹
	CWE-1188	大規模な値またはユーザー制御の値を使用し、`StringBuilder` コンストラクターでサービス拒否をチェックします。¹
PHP	CWE-89	`sqlite_escape_string` のバリデーター・チェックが追加されました。
シークレット	CWE-798	ノイズの多いパターンの一部は検出結果として削除されました。
	CWE-798	`web.config` ファイルでハードコードされた資格情報を確認します。
	CWE-1051	IP アドレスではないにもかかわらずそのように見える文字列を回避するために調整された、ハードコードされた IP アドレスをチェックします。

2025-07-14

新規ルール。


言語	CWE	説明
Python	CWE-78	`os.system` の安全でない使用を探します。¹
	CWE-79	Python Django のルールの明確さが向上しました。
シークレット	CWE-1051	ハードコードされた IP アドレス・チェックのノイズ・パターンを削除しました。
	CWE-798	ハードコードされた資格情報のノイズ・パターンを削除しました。 Rust コードでノイズの多いパターンは避けてください。 Python ファイルの引用符がない検出結果を除去するため、秘密 - 資格情報 - 鍵: 値ペア・ルールにチェックが追加されました。 `1234`、`wrongpassword`、`testpassword`、`noreply` などのノイズの多いパスワードをフィルタリングするため、チェックが追加されました。 `1234` を含むパスワードなどの検出結果を除去するため、他のスニペットが調整されました。現在の鍵: 値ペア・ルールは、行末までのコンテキストを検出します。そのため、`,` または `"` がある行末を削除しました。

2025-06-13

Java 用マークアップの追加:

68 件の新規ソース
10 件の新規シンク


言語	CWE	説明
シークレット		ノイズの多いパターンの一部は検出結果として削除されました。
Java ソース・コード	CWE-111	`DllImport`の危険な使用のチェックが追加されました。
Java ソース・コード	CWE-918	ユーザーが制御する可能性のあるデータを含む URL openStream のチェックが追加されました。

2025-05-07

このリリースのルールの更新はすべて、新しいルールです。


言語	CWE	説明
C# ソース・コード・スキャナー	CWE-94	`CSharpScript.EvaluateAsync` のチェック。
	CWE-532	ユーザー名やパスワードなど個人識別情報 (PII) のログのチェック。
	CWE-111	`DllImport` の危険な使用のチェック。
Java ソース・コード・スキャナー	CWE-532	ユーザー名やパスワードなど個人識別情報 (PII) のログのチェック。
	CWE-102	Struts 検証 XML ファイル内の重複フォーム名のチェック。
	CWE-104	検証しないで `ActionForm` を拡張するクラスのチェック。
PHP	CWE-111	安全でない呼び出しを含む `FFI::cdef` の使用のチェック。
Python	CWE-111	引数の完全修飾パスを使用しない `ctypes.DLL` の使用のチェック。

2025-04-01

新規ルール


言語	CWE	説明
すべての言語	CWE-798	ノイズ低減の改善
C#	CWE-328	Autofix は、より最新の関数呼び出しを適用します
	CWE-1333	正規表現オブジェクトに適用されたタイムアウトの確認¹
	CWE-89	`String.Append` を使用してクエリーを作成することによる SQLi の新しいキャプチャー
		`Microsoft.CodeAnalysis.CSharp.Scripting` と `Microsoft.AspNetCore.Mvc.ViewFeatures` 用に更新されたセキュリティー情報
ColdFusion	CWE-328	パフォーマンスを向上させるためのチェックを調整
HTML	CWE-319	URL で localhost スタイルのノイズが発生しないようにします
IaC	CWE-770	2 つの新しい Autofix
IaC	CWE-311	Amazon Load Balancer で適切な TLS 設定用の追加チェック
Java	CWE-479	Autofix の更新
JavaScript	CWE-598	JavaScript ファイルで `URLSearchParams` の欠陥を探しています。¹
Python	CWE-502	Java で安全でない反映を探しています¹

2024-12-11


言語	CWE	説明
C#	CWE-78	OS インジェクションのノイズの多い検出結果を削減するための調整。
IaC	CWE-798	TypeScript コード構成に対するノイズの多い検出結果を削減するための調整。
	CWE-1051	HTML ファイルの IP パターンのノイズの多い検出結果を削減するための調整。
	CWE-1328	Docker イメージ参照のノイズの多い検出結果を削減するための調整。
HTML	CWE-79	ファイル拡張子の新しいルール: htm html rhtml xhtml cshtml vbhtml
	CWE-319
	CWE-524
	CWE-525
	CWE-598
	CWE-1021
	CWE-1022
JavaScript	CWE-209	ノイズの多い検出結果を回避するための変更
	CWE-359	ノイズの多い検出結果を回避するための変更
	CWE-1022	window`.open` の検出結果に対するノイズの多い検出結果を削減するための調整。
シークレット	CWE-798	URL クエリー文字列内のハードコードされたパスワードを検索。
シークレット	CWE-284	Azure 共有アクセス・シグニチャー・トークン露出結果でノイズの多い検出結果を削減するための調整。
Visual Basic	CWE-78	ノイズの多い検出結果を回避するための変更
Visual Basic	CWE-328	ノイズの多い検出結果を回避するための変更

2024-12-03

注:

新規ルール
ルール内のノイズを低減しました


言語	CWE	説明
ASP.NET	CWE-1188	プロジェクト構成で Cookieless セッション状態が有効になりました。²
ASP.NET	CWE-79	コード内のインライン式の潜在的な XSS。²
C#	CWE-601	変数内にユーザー制御データを持つ可能性のあるリダイレクトの要求。²
C#	CWE-185	正規表現のインジェクション。²
IaC Terraform	CWE-410	安全でないロード・バランサーの設定。¹
Java	CWE-337	Java コードにおける `SecureRandom` インスタンスのシードが予測可能。²
	CWE-918	`RestTemplate().exchange` におけるサーバーサイド・リクエスト・フォージェリー。²
	CWE-185	Java コードにおける正規表現のインジェクション。²
	CWE-244	Java 文字列オブジェクトに格納されたパスワード。²
JavaScript	CWE-79	`document.referrer`. の安全でない使用。²
PHP	CWE-79	PHP 内のユーザー制御データが HTML に変換される。²
Python Django	CWE-79	HTML ファイルを収集して Python をレビューするようになりました新規ルールが追加されました。
	CWE-89
	CWE-200
	CWE-201
	CWE-212
	CWE-352
	CWE-497
	CWE-522
	CWE-523
	CWE-795
	CWE-918
	CWE-1021
	CWE-1188
	CWE-1295
シークレット	CWE-798	ハードコードされた基本認証資格情報。¹
VB.NET	CWE-502	シリアル化解除の可能性。²

2024 年 9 月 17 日

注:

新規ルール
新しい自動修正ルールまたは拡張された自動修正ルール


言語	CWE	変更
Infrastructure as Code (IaC)	CWE-250	Dockerfile で検出された `apt-get` コマンドの安全でない使用。¹
	CWE-1328	Dockerfile で検出された Base イメージ・バージョンの安全でない使用です。¹
	CWE-276	デフォルトのセキュリティー・プロファイルが使用できません。²
JavaScript	CWE-1022	リファラー情報が漏えいしています。²
Kotlin	CWE-922	Kotlin コードで不適切なデータ・ストレージ・アクセスの問題が検出されました。²
PHP	CWE-98	`allow_url_fopen` ディレクティブが有効です。²
	CWE-98	`allow_url_include` ディレクティブが有効です。²
	CWE-94	`cgi.force_redirect` ディレクティブが無効になっています。²
	CWE-614	`Secure` 属性のない HTTPS セッションの機密 Cookie。²
Python	CWE-732	Django 設定での `ALLOWED_HOSTS` の安全でない使用。¹
	CWE-539	Django での安全でない CSRF またはセッション cookie の設定です。¹
	CWE-1021	`X_FRAME_OPTIONS` を介した ClickjackingvAttack の可能性。¹
	CWE-79	Django テンプレートでの `safe` または `safeseq` フィルターの使用による XSS 脆弱性の可能性。¹
	CWE-79	Django HttpResponse の潜在的な XSS の脆弱性です。¹
	CWE-150	環境オブジェクトの自動エスケープを無効にするために、カバー範囲を拡張しました。²
	CWE-539	Django での安全でない CSRF またはセッション cookie の設定です。²
Ruby	CWE-78	バックティックの安全でない使用。²
Ruby	CWE-78	system メソッドの安全でない使用です。²
さび色	CWE-295	証明書チェックがない可能性がある CMS メッセージ復号化を検出しました。²
	CWE-327	潜在的な弱い楕円曲線暗号の使用を検出しました。²
	CWE-326	潜在的な弱い RSA キー長を検出しました。²

2024-09-04

一般更新:

スキャンで、縮小されたファイルはすべて回避されるようになりました。
System.Data.SQLite 向けの .NET データ・フローのサポート。

注:

新規ルール
新規自動修正ルール
ルール修正


言語		CWE	変更
.NET	ASP.NET	CWE-1188	ASP.NET プロジェクト構成で Cookieless セッション状態が有効になりました。^2.
	C#	CWE-319	オープン通信スキームを検出。²
		CWE-328	脆弱な暗号アルゴリズムを検出しました。²
		CWE-327	署名検証のない JWT Builder を検出しました。²
	VB.NET	CWE-1173	VB コードで HTTP 要求の検証が無効になっています。^2.
	VB.NET	CWE-328	VB コードで脆弱な暗号化アルゴリズムが使用されています。^2.
Angular		CWE-94	サンドボックス VM に潜在的なコード・インジェクションの脆弱性があります。^1.
Angular.js		CWE-477	見つかった非推奨の呼び出し: (`ng-bind-html-unsafe`).²
Apex		CWE-943	SOQL インジェクション。^2.
		CWE-943	SOSL インジェクション。^2.
		CWE-328	脆弱なハッシュ・アルゴリズムが選択されています。²
		CWE-79	スクリプトまたはスタイルのクロスサイト・スクリプティング (XSS)。²
ASP		CWE-319	ASP コードで検出されたオープン通信スキーム。²
C/C++		CWE-367	一時ファイル名関数の潜在的に危険な使用。コンテキストを修正し、自動修正を有効にしました。^3.
		CWE-78	潜在的なコマンド・インジェクションを検出しました。範囲の拡大。³
		CWE-250	最小権限の原則に違反していると思われる `CreateFile` 呼び出し。²
		CWE-250	`CreateNamedPipe` に `FILE_FLAG_FIRST_PIPE_INSTANCE` フラグがない。²
		CWE-757	(SSL/TLS) プロトコルの安全ではない使用を検出しました。^2.
		CWE-295	危険の可能性がある Curl 構成の使用を検出しました (このカテゴリーには異なる 7 種類のルールがあります)。^2.
		CWE-427	レジストリー操作の最小特権原則の可能性を検出しました。^2.
		CWE-611	安全でない外部エンティティー処理が有効です。^2.
ColdFusion		CWE-524	`cfCache` が安全なページをキャッシング。²
		CWE-502	`cfWddx` に WDDX 検証がない。²
		CWE-862	`cfFunction` でクライアントが検証されない。²
		CWE-319	安全ではない通信。²
		CWE-307	複数の送信の検証。²
		CWE-327	暗号化関数での安全でないアルゴリズムの使用。²
Dart		CWE-522	潜在的に機密性の高いフィールドに対して `AutoComplete` がオンになっている。²
		CWE-319	`HttpServer` でのオープン通信スキームの検出。²
		CWE-319	オープン・ソケット通信を検出しました。²
		CWE-319	Uri があるオープン通信スキームを検出しました。²
		CWE-79	DART コードで安全ではないウィンドウのオープンが行われています。^2.
		CWE-319	ストリングでオープン通信スキームを検出しました。²
		CWE-79	安全でないコンテンツ・セキュリティー・ポリシー・キーワードが見つかりました。^2.
Docker		CWE-770	サービス拒否 (DoS) 攻撃防止のために CPU を制限します。^2.
Docker		CWE-770	サービス拒否 (DoS) 攻撃防止のために失敗時の再起動回数を制限します。²
Go		CWE-489	HTTP 用のデバッグ・パッケージ `pprof` を検出。²
		CWE-1004	Golang コードに安全でない `http.Cookie` が含まれている。²
		CWE-319	Golang コードでオープン通信スキームを検出しました。²
Groovy		CWE-319	Groovy コードでオープン通信スキームを検出しました。²
Groovy		CWE-79	Groovy ソース・コードで検出された潜在的なクロスサイト・スクリプティングの脆弱性により、全インスタンスに自動修正を追加しました。²
Java		CWE-489	Web セキュリティーでデバッグを有効にすると、Spring のデータが表示されます。^2.
		CWE-1390	SAML のコメントを無視すると、認証に失敗します。^2.
		CWE-548	Tomcat 構成のデフォルト・サーブレットのディレクトリー一覧が安全ではありません。^2.
		CWE-276	Java で安全ではないファイル許可の使用を検出しました。²
		CWE-489	Java コードでプリント・スタック・トレースを検出しました。^2.
		CWE-489	Android アプリケーションでデバッグ可能フラグが true に設定されている。²
		CWE-1188	Android コードで不適切な共用プリファレンス・モードを検出しました。²
JavaScript		CWE-359	安全ではないイベント送信ポリシー。コンテキストが修正され、自動修正が有効になりました。^3.
		CWE-79	`jQuery.append` で潜在的な XSS の脆弱性を検出。現在はパフォーマンスが向上。³
		CWE-79	Mustache のエスケープ・メソッドをオーバーライドするのは危険です。²
		CWE-319	安全ではないイベント送信ポリシー。²
Kotlin		CWE-319	Kotlin コードでオープン通信を検出。²
NodeJS		CWE-614	Cookie にセキュリティー・フラグがないか、フラグにセキュアではない値が設定されています。²
		CWE-328	暗号化機能 `createCipheriv` での安全でないアルゴリズムの使用。²
		CWE-295	node-curl を無効にするための SSL 証明書の検証の安全でない構成。²
		CWE-78	Exec シェル生成を検出。²
		CWE-1004	欠落している `HTTPOnly` cookie 属性の安全でない設定。²
Objective-C		CWE-319	Objective-C コードでオープン通信スキームを検出。²
PHP		CWE-10041¹	`HttpOnly` フラグのない機密 Cookie。²
		CWE-614¹	`secure` 属性のない HTTPS セッションの機密 Cookie。²
		CWE-791¹	組み込み PHP 変数を検出。²
		CWE-98¹	PHP コードで潜在的なファイル・インクルージョン脆弱性を検出。²
		CWE-611¹	PHP コードで潜在的な XML 外部エンティティー・インジェクションを検出。²
		CWE-78	ユーザー提供データを使用する可能性のある PHP コマンドの実行。範囲の拡大。³
		CWE-644	潜在的なヘッダー・インジェクションを検出。範囲の拡大。³
		CWE-327	安全でないアルゴリズムの使用を検出。チェックおよび対象範囲の拡大。³
		CWE-319	PHP Symfony フレームワークでオープン通信を検出。²
		CWE-1004	`setcookie` の `HTTPOnly` フラグがないか、安全でない。²
		CWE-319	オープン通信スキームを検出。²
		CWE-544	`error_reporting` ディレクティブがエラー・レポートの可能な最高レベルを許可するように設定されていない²
PL/SQL		CWE-331	`DBMS_RANDOM`. の安全でない使用。²
Python		CWE-311	`http` を使用する URL。範囲の拡大。³
		CWE-311	一時ファイルの TOCTTOU 競合状態。範囲を固定して、自動修正を有効にしました。³
		CWE-367	一時ファイルの TOCTTOU 競合状態。²
		CWE-319	`http` を使用する URL。²
		CWE-78	Python OS インジェクション。²
		CWE-319	セキュアではない FTP の使用です。²
		CWE-78	Popen コマンド・インジェクションです。²
		CWE-276	777 を umask とともに使用しています。²
ReactNative		CWE-319	オープン通信を検出。コンテキストを修正し、自動修正を有効にしました。^3.
		CWE-319	オープン通信を検出。²
		CWE-295	SSL Pinning の無効化を検出。²
RPG		CWE-319	コードでオープン通信を検出しました。²
Ruby		CWE-78	バックティック正規表現の安全ではない使用の改善が必要です。範囲の拡大。³
		CWE-78	バックティックの安全でない使用。範囲の拡大。³
		CWE-425	Ruby の一括割り当て。²
		CWE-359	Ruby の情報開示です。²
Scala		CWE-319	Scala コードでオープン通信スキームを検出しました。²
Scala		CWE-79	Cookie アクセス経由の潜在的なクライアント・サイド・スクリプティング脆弱性を Scala ソース・コードで検出しました。²
シークレット		CWE-1051	ハードコードされた IP アドレスを検出。範囲の拡大。³
シークレット		CWE-798	ハードコードされた資格情報を検出。範囲の拡大。³
Swift		CWE-319	Swift コードでオープン通信スキームを検出しました。²
Swift		CWE-79	iOS `UIWebView` で `loadRequest()` を使用するときに潜在的なクロスサイト・スクリプティング脆弱性。²
Terraform		CWE-359	ユーザー・データ・シークレットを公開する AWS インスタンスを検出。²
		CWE-778	Azure ログ監視プロファイルでは、すべての必須カテゴリーを定義することが必要。²
		CWE-732	デフォルトのサービス・アカウントが、フォルダー、プロジェクト、または組織レベルで使用されています。²
		CWE-671	E メール・サービスと共同管理者が SQL サーバーで有効になっていません。²
		CWE-923	Azure ストレージ・アカウントのデフォルト・ネット・ワーク・アクセスが「拒否」に設定されるようにします。²
		CWE-923	GCP ファイアウォール・ルールでアクセスを無制限に許可しないようにします。^2.
		CWE-732	Google Compute インスタンスがパブリックにアクセス可能です。²
		CWE-732	Google ストレージ・バケットがパブリックにアクセス可能です。^2.
		CWE-732	Amazon S3 バケットの安全ではないアクセス許可。²
Visual Basic		CWE-319	VB コードで検出されたオープン通信スキーム。²
Xamarin		CWE-319	Xamarin でオープン通信を検出。²

2024-08-06


言語	CWE	変更
全般	CWE-319	すべての言語のオープン・コミュニケーション・ルールをより適切に処理し、ノイズの多い検出結果を回避
Angular	CWE-312	ローカルストレージが並べ替えの方向に関連する `setItem` 呼び出しを回避する。
ASP	CWE-79	`Server.HTMLEncode` を使用して適切な検証を確認する。
CSS	CWE-79	ノイズの多い検出結果を回避するための変更
Dart	CWE-328	検出結果をより選択的に表示して、明らかにノイズである検出結果を回避します。
Dart	CWE-319	ノイズの多い検出結果を回避するための変更
Java ソース・コード・スキャナー	CWE-918	`RestTemplate().exchange` コールでの SSRF の検出。
	CWE-303	危険な `NoOpPasswordEncoder.getInstance` 呼び出しを検出。
	CWE-89	SQLi の追加ケースを検出しました。
	CWE-22	パス・トラバーサルの問題が発生する可能性がある場所を検出しました。
	CWE-798	`HashMap.put` の呼び出しおよびセッターでハードコードされた資格情報を検出。
JavaScript	CWE-200	危険なターゲット・オリジン・チェックのチェックが `window.postMessage` 呼び出しに追加された。
JavaScript	CWE-913	ノイズの多い検出結果を削減する修正を行いました。
JQuery	CWE-79	ノイズの多い検出結果を削減する修正を行いました。
Objective-C	CWE-798	ノイズの多い検出結果をさらに削減する修正を行いました。
PHP	CWE-798	値をチェックして、コードにプレーン・テキストで格納されているパスワードであると思われる文字列リテラルであるかどうかを確認します。
Python	CWE-319	状況による置換の誤りに対応して自動修正を修正しました。
シークレット・スキャン	CWE-798	最小化された JS ファイルを回避。
シークレット・スキャン	CWE-798	翻訳ファイルの分析を回避してノイズを削減します。
TerraForm	CWE-1220	エグレス・セキュリティー・グループ `cidr_blocks` の新しいルール・チェックの設定が寛容すぎる。
TypeScript	CWE-943	TypeScript ファイルで NoSQL MongoDB インジェクションを探索。
TypeScript	CWE-943	SQLi の追加ケースを探索。
VueJS	CWE-79	メソッド宣言で見つかった場合に結果が生成されないように変更しました。