「この問題の情報」レポート

「この問題の情報」ダイアログは、アプリケーション内で選択された問題を要約したものであり、その問題に固有の Issue ID によって識別されます。このレポートは、問題の詳細を示すとともに、QA および Web 開発者が修復プロセス中に使用できる「How to Fix」を提供します。選択された問題のタイプによっては、このトピックで説明しているすべての情報がユーザー・インターフェースに表示されない場合があります。

修正方法

「How to Fix」には、問題に関する以下の詳細が含まれています。
  • 問題に関する言語別記事 (JAVA、PHP、.NET など)。
  • テストのタイプ (アプリケーションまたはインフラストラクチャー)
  • アプリケーションに脆弱性が存在するようになった原因として考えられるもの。
  • 組織に対するリスク (最悪の事態)。
  • 影響を受ける製品 (ASP.Net 1.1 Service Pack 1 など、このセキュリティー問題の影響を受ける製品バージョン)。
  • 問題の悪用例。

推奨される修正

「修正の推奨事項」では、問題をアプリケーションのソース・コードで修正できるように、特定の開発環境に対応したサンプル・コードを開発者に提供します。
  • 推奨 Java™ ツール
  • 参照

CWE を含む

  • 問題の関連記事
  • 問題の外部参照

コード・スニペット

「コード・スニペット」には、JavaScript ソース・コードの静的分析が表示されます。検出される問題にはソース・レベルのトレース情報が含まれ、脆弱性のあるソース・コードが強調表示されています。コード内で番号が付けられて強調表示されている行は、アプリケーションに入力された信頼できないデータがどのように伝搬されて非セキュアな方法で使用されるかを、ソースからシンクまで、ステップバイステップで示しています。

トレース

インポートされた AppScan® Source の脆弱性に関するトレース情報には、以下が含まれます。
  • 分類: 検出結果のタイプを示します。セキュリティ (確定または疑似) または設定です。
  • 「コンテキスト」: 出力スタック内のメソッドのデータ・フローが表示されます。ソース・コード内で問題およびコンテキストが出現する行番号などが示されます。
  • 「ソース・ファイル」: ワークスペース・プロジェクト内で脆弱性を含むソース・ファイルを示します。
  • 「行番号」: コード内のどこで脆弱性が検出されたかを示します。

テスト要求と応答

「テスト要求と応答」には、テストに関する情報と、そのテストに固有のバリアントが含まれます。これらは、ご使用の Web アプリケーションのどこに脆弱性があるかを発見するために送信されたものです。テストには複数のバリアントがある場合があります。バリアントは、スキャン・ジョブが Web アプリケーション・サーバーに送信するオリジナル・テスト要求とのわずかな差異です。最初に送信される要求は、正当であり、アプリケーションのビジネス・ロジックに従うことを意図したものです。その後、同じ要求が送信されますが、この要求は、アプリケーションが不適切な要求や間違った要求をどのように処理するかが分かるように変更されています。各テスト要求には多数のバリアント、すなわち、大規模データベースのすべてのセキュリティー・ルールをカバーするのに必要な数のバリアントがあると考えられます。例えば、特定のパラメーターに対してユーザー入力ルールが適用されていることを確認するためのテストが送信されます。あるバリアントは、アポストロフィが有効な入力でないことを検査し、別のバリアントは引用符が許可されていないことを検査します。

...
Note:
  • 「この問題について」ページには、修正されたバリアントは表示されません。修正されなかったバリアントのみが表示されます。
  • 前のバージョンでは、元のトラフィックとテスト・トラフィックが表示されていました。v9.0.2.1 以降は、テスト・トラフィックのみが表示され、XML エクスポートに含まれます。

CVSS メトリクスと重大度

「この問題について」ダイアログは、Common Vulnerability Scoring System (CVSS) 4.0 メトリクスを表示するための主要な場所です。問題のスコアを評価する際には、以下のシステム動作に注意してください。

  • 重大度の計算: AppScan Enterprise は、CVSS 3.1 スコアのみを使用して、問題の全体的な重大度評価 (高、中、低) を計算します。CVSS 4.0 スコアは、基本属性のみを使用して厳密に計算される追加の参考情報であり、環境メトリクスは含まれません。
  • 属性の変更: CVSS 4.0 スコアフィールドと CVSS 4.0 ベクトルフィールドは読み取り専用です。手動で変更できるのは CVSS 3.1 属性のみです。基本メトリクスまたは CVSS 3.1 属性を変更すると、AppScan Enterprise は CVSS 3.1 と CVSS 4.0 の両方のスコアを自動的に再計算します。
  • 表示とフィルタリングの制限: CVSS 4.0 メトリクスは列選択メニューで使用できず、メインの問題リストに列として表示できず、問題リストのフィルタリングにも使用できません。