Rapport À propos de ce problème
La boîte de dialogue À propos de ce problème présente un récapitulatif du problème sélectionné dans l'application et est identifiée par l'ID unique du problème. Il fournit des détails sur le problème ainsi qu'une procédure de résolution du problème aux développeurs du contrôle qualité (QA) et Web à appliquer au cours du processus de résolution. Selon le type de problème sélectionné, il est possible que certaines informations présentées dans cette rubrique n'apparaissent pas dans l'interface utilisateur.
Comment résoudre le problème
- Articles linguistiques (JAVA, PHP et.NET, etc.) du problème.
- Type de test (Application ou Infrastructure)
- Cause pouvant expliquer la raison pour laquelle votre application est devenue vulnérable
- Risque ("scénarios-catastrophe") pour votre organisation
- Produits concernés (versions de produit affectées par ce problème de sécurité, par exemple ASP.Net 1.1 Service Pack 1).
- Exemple d'exploitation du problème.
Recommandation de correction
- Outils Java™ recommandés
- Références
Y compris CWE
- Articles connexes du problème
- Références externes du problème
Fragments de code
Les fragments de code fournissent une analyse statique du code source JavaScript ; les problèmes détectés incluent des informations de trace au niveau de la source qui mettent en évidence le code source vulnérable. Les lignes du code numérotées et mises en évidence indiquent, étape par étape, comment sont propagées des données non fiables depuis la source jusqu'au collecteur, jusqu'à leur utilisation non sécurisée.
Trace
- Classification : indique le type de résultat : Sécurité (Définitif ou Suspect) ou Configuration.
- Contexte : affiche le flux de données pour la méthode dans la pile de sortie, notamment le numéro de ligne dans le code source où apparaissent le problème et le contexte.
- Fichier source : indique les fichiers source du projet de l'espace de travail qui contiennent les vulnérabilités.
- Numéro de ligne : indique à quel endroit du code la vulnérabilité a été détectée.
Demandes et réponses de test
Les Demandes et réponses de test fournissent des informations concernant les tests et leurs variantes spécifiques qui ont été transmises à votre application Web afin d'en découvrir les failles. Un test peut faire l'objet de différentes variantes. Une variante est une version qui diffère légèrement de la demande de test originale et que le travail d'examen envoie au serveur de votre application Web. Une première demande est envoyée, celle-ci étant censée être conforme et suivre la logique métier de votre application. La même demande est ensuite envoyée, mais avec des modifications visant à déterminer comment votre application gère les demandes incorrectes ou comportant des erreurs. Chaque demande peut se voir associer un nombre quelconque de variantes - autant que nécessaire pour couvrir toutes les règles de sécurité à tous les niveaux de la base de données. Par exemple, un test est lancé pour vérifier que vous avez bien fait respecter les règles d'entrée utilisateur pour un paramètre spécifique. Une variante vérifie que les apostrophes ne sont pas des entrées valides, tandis qu'une autre vérifie que les guillemets ne sont pas autorisés.
...- La page "A propos de ce problème" n'affiche pas les variantes qui ont été corrigées ; elle affiche uniquement les variantes qui ne l'ont pas été.
- Dans les versions précédentes, le trafic d'origine et le trafic de test étaient affichés. Depuis la version 9.0.2.1, seul le trafic de test est affiché et inclus dans l'exportation XML.
Métriques CVSS et sévérité
La boîte de dialogue À propos de ce problème est l'emplacement principal pour consulter les métriques Common Vulnerability Scoring System (CVSS) 4.0. Lorsque vous évaluez le score d'un problème, notez les comportements système suivants :
- Calcul de la sévérité : AppScan Enterprise calcule la note de sévérité globale du problème (Élevée, Moyenne ou Faible) exclusivement à l'aide du score CVSS 3.1. Le score CVSS 4.0 est une métrique informationnelle supplémentaire calculée strictement à l'aide des attributs de base ; il n'inclut pas les métriques environnementales.
- Modification des attributs : les champs Score CVSS 4.0 et Vecteur CVSS 4.0 sont en lecture seule. Vous pouvez modifier manuellement uniquement les attributs CVSS 3.1. Lorsque vous modifiez les métriques de base ou les attributs CVSS 3.1, AppScan Enterprise recalcule automatiquement les scores CVSS 3.1 et CVSS 4.0.
- Limitations d'affichage et de filtrage : les métriques CVSS 4.0 ne sont pas disponibles dans le menu de sélection des colonnes, ne peuvent pas être affichées en tant que colonnes dans la liste principale des problèmes et ne peuvent pas être utilisées pour filtrer la liste des problèmes.