既知の問題と回避策

既知の問題と回避策を示します。

Table 1. 既知の問題と回避策
問題 回避策

IssueType、Severity、Scanner、または Status に基づいて問題を"グループ化"した場合、各カテゴリーに 500 件を超える問題があると、追加の問題は表示されません。代わりにフィルターを使用することをお勧めします。フィルターも、各列タイプの値を最大 100 件までしか表示できません。

 "グループ化"オプションを解除してから、結果の表示に使用する列タイプに基づいてデータをソートしてください。
AppScan Enterprise または AppScan Standard からコンポーネントビューの詳細をエクスポートまたはインポートすることはできません。ただし、脆弱なコンポーネントは問題としてエクスポートまたはインポートできます。 なし
セキュリティー・レポート (xls、excel、xml、または PDF) には、コンポーネントの詳細は表示されません。 なし
CVE レコードを更新するには、構成ウィザードを実行する方法しかありません。AppScan Enterprise のインストール後に導入された新しい CVE は、脆弱なコンポーネントとして識別されません。 なし
アクティビティ ログでは、日付フィルターにより、指定された日付範囲よりも 1 日多いデータが表示されます。 なし
CVSS 3.1 属性を持たない問題については、期限超過の計算は行われません。 なし
バージョン 10.1.0 以前でスキャンされ、アプリケーションに関連付けられたすべての問題について、CVSS Version = 2.0 フィルターを使用すると、CVSS 2.0 と 3.1 の両方の問題が表示される場合があります。 CVSS Version 列に基づいて問題をソートすると、バージョンに基づいてすべての CVSS 2.0 の問題が最初にリストされます。

IAST .NET エージェントは、一部の .NET フレームワーク・アプリケーションで NuGet としてインストールできず、「Unable to resolve dependency 'MonoModReorg.RuntimeDetour'」というエラーが表示されることがあります。

IAST エージェントをインストールする前に、NuGet: 'MonoModReorg.RuntimeDetour'、バージョン 22.11.21-prerelease.2 をインストールしてください。Visual Studio の NuGet タブでプレリリースのチェックボックスが選択されていることを確認してください。これで、IAST エージェントを NuGet としてインストールできます。
LDAP が ASE に構成されている場合、およびスキャナーとサーバーが同じマシンにインストールされている場合は、ユーザー・グループをインポートできず、ユーザー・プロパティーを正しい値で保存できません Dynamic Analysis Scanner とともに、サーバー構成中に以前選択した「サーバー・コンポーネント」ウィンドウで該当するすべてのコンポーネント (ユーザーの管理/Enterprise Console/IAST) を選択して、構成ウィザードを再実行します。
重大度が 'Information' の IAST の問題で、CVSS バージョンが 3.1 ではなく 2.0 と表示されます。 表示されるバージョンは無視し、IAST は AppScan Enterprise スキャナーであるため、バージョンは 3.1 と見なしてください。
スキャン状況アラートは、構成済みの E メール・アドレスに送信されません。 アラート・サービスを再開します。
10.0.8 から 10.1.0 にアップグレードすると、IAST Java war エージェントの配置または接続が失敗し、AppScan Enterprise との対話が行われません。 このエージェントを無効にしてから、再度有効にしてください。
Re-importing issues with Appscan Mobile Analyzer and AppScan Mobile Analyzer IOS scanner profiles results in an error. 「モニター」タブを更新します。
問題を再テストすると、問題が実際に修正されていない場合でも、問題の状況が「修正済み」として報告されることがあります。 サイトで認証が必要な場合は、正しい再テスト状況を提供するために、再テストのスキャン・レベルでログインを必須に設定する必要があります。
問題のタイプ「Spring MVC でのリモート・コマンド実行 (CVE-2022-22965)」を再テストすると、問題が実際に修正されていない場合でも、「再オープン」ではなく「修正済み」として問題の状況が報告されることがあります。 アプリケーションのフル・スキャンを実行して、この問題のタイプが修正されているかどうかを確認することをお勧めします。
「モニター」タブでは、問題をクリックしても問題の詳細は表示されません。代わりに、エラー・メッセージ「CRWAS9999E 不明なエラーが発生しました。」が表示されます。この問題は、問題の詳細のテキスト・コンテンツが大きい場合に発生します。 <ASE install Dir>\AppScan Enterprise\Liberty\usr\servers\<server instance> に移動し、-Xss1024m という行を jvm.options に追加して、「HCL AppScan Enterprise Server」サービスを再始動します。
エージェント・サービスに「ライセンスの検査」状況が表示されます。 スキャナー・マシンで「HCL AppScan Agent Service」を再始動します。

DAST プロキシーの場合、Firefox ブラウザーを使用してトラフィックを記録しても、「セッション内」は自動的に検出されません。

 メイン・ページの URL を選択して 「セッション中」 ボタンをクリックして「セッション内」を手動で追加するか、トラフィックの記録前に大量のトラフィックを作成するすべての Firefox プラグイン (例: Clockify) をオフにします。
OWASP 2017 の削除と OWASP 2021 レポートのサポート: 10.0.7 より前に作成されたすべてのレポート・パックおよびレポート・パック・テンプレートには、OWASP 2017 レポートが含まれます。 必要に応じて、2017 年 OWASP Top 10 を手動で削除し、既存のすべてのスキャンのレポート・パックに 2021 年 OWASP Top 10 を追加してレポート・パックを実行する必要があります。
IAST エージェント・ページでは、次のような UI の不具合が発生する可能性があります。
「アクション」ドロップダウンから 「キーの生成」ボタンをクリックしても、応答がありません。 ページを最新表示して、再試行してください。
生成キー・ポップアップで 「生成」ボタンをクリックしても、応答がありません。 複数回クリックしないでください。約 1 分間待っても応答がない場合は、ポップアップを閉じてもう一度実行してください。
Node.js エージェントのキーを再生成すると、パッケージ・サイズが大きくなる可能性があります。 ほとんどの場合に機能しているため、これは無視できます。
ダウンロードした Node.js エージェントに適切なエージェント・キーがない場合。 エージェント・キーを再生成し、エージェントを再度ダウンロードします。
SAST の問題の場合、インポートされたジョブが「スキャン」タブで実行されると、共通の問題に対して使いやすい名前が生成されるようになりました。「モニター」 タブでは、以前のリリースとの整合性を保つために古い形式の ID が引き続き使用されます。今後、使いやすい名前に更新される予定です。このため、同じアプリケーションを使用してソース・データを「モニター」タブに直接インポートし、同じアプリケーションを「スキャン」タブで実行されるソース・インポート・ジョブにリンクすると、異なる問題タイプ (SQL 注入、クロスサイト・スクリプティングなど) に分類される問題が発生する可能性があります。 複数の SAST の問題を AppScan Enterprise にインポートする場合は、すべてに同じメカニズムを使用することをお勧めします。すべてのスキャンを「モニター」タブでインポートするか、すべてのジョブを「スキャン」タブでインポート・ジョブとして実行してアプリケーションにリンクしてください。機能に影響はありません。この問題は、表示にのみ影響します。
AppScan Enterprise UI 言語が英語以外の言語に設定されている場合は、以下の問題が発生する可能性があります。
  • 「モニター」ページで、スキャンの問題の「問題について」ページに移動すると、理由に関する情報は常に英語で表示されます。
  • UI 言語が Espanola (スペイン語) に設定されている場合は、リファレンス API リンクと「修正方法」レポートの内容が英語で表示されます。
  • 「モニター」タブで異なる言語とエクスポートの問題を選択すると、IssueType 名が英語で表示されます。
  • 別の言語に切り替えると、「スキャン」タブの「修正方法」 (異なるプログラミング言語の内容) が以前の言語で表示されます。
  • ase_plan.pdf ファイルと Readme ファイルは翻訳されません。
 言語設定を変更しても、UI 機能は影響を受けません。ただし、この情報が英語になります。したがって、これらの問題が後続のリリースで解決されるまで、引き続き UI 機能を使用することをお勧めします。
既に使用中のポートにユーザーが修正方法を設定している場合、UI ユーザーが問題の詳細にアクセスして修正方法のリンクにアクセスしようとしても、適切なエラー・メッセージが表示されません。 別のポートに修正方法を指定して、構成ウィザードを再実行します。
ユーザーが ASE UI でユーザー定義テストファイルをアップロードすると、「Error connecting to the Advisory service server.」というエラーメッセージが表示されます。 UDT ファイルは、AppScan Enterprise に正常にインポートされます。しかし、ユーザーには UI またはレポートに UDT issueTypeId が「修正方法」の情報が表示されません。
UDT issueTypeId の xml「修正方法」情報を参照するには、次のようにします。
  1. <ASE install Dir>\AppScan Enterprise\CustomAdvisory\advisories\archives フォルダーパスに移動し、対応する UDT IssueTypeName zip ファイル（例: UserDefined_UDT1.zip）を展開します。
  2. ユーザーは <ASE install Dir>\AppScan Enterprise\CustomAdvisory\advisories\archives\Advisories\en-US フォルダーパスで How To Fix/Advisory 情報の xml（例: UserDefined_UDT1.xml）ファイルを確認できます。
スキャンのページからフォルダーの権限を変更せずにフォルダーを編集し、「保存する」ボタンをクリックすると、ActivityLog テーブルにアクション 3 としてエントリが作成されます。アクション 3 は、フォルダーが編集されたことを示します。 フォルダー・アクセス権を編集していない場合は、「キャンセル」ボタンをクリックしてページを終了する必要があります。
API POST/jobs/{jobId}/dastconfig/updatetraffic/{action} を使用して ADAC クライアント統合を通じて Postman または SoapUI ツールで生成されたトラフィックファイル（.exd 形式のファイル）から、ドメイン名が除外されません。 トラフィックファイルからドメインのトラフィックを除外するには、.dast、.config、または .har ファイルを使用する必要があります。
Windows での AppScan Enterprise サービス・アカウントのユーザー許可の変更時に、スキャン・ジョブが失敗しています。 AppScan Enterprise Server と Scanner マシンの両方で、サービス・アカウント・ユーザーを Windows 管理者グループに追加する必要があります。
AppScan エージェント・サービス・プロセスがタスク・マネージャーによって強制終了されるとき、HCL スキャナー・ライセンスのチェックインが即座に行われません。ライセンスがリリースされるまで、約 15 分かかります。 ライセンスを解放するために、サービスを介して、再度エージェントを始動および停止することが推奨されます。
AppScan Enterprise Server がシャットダウンされる前にユーザーがログアウトしていない場合、オープン・セッションでライセンスがプールにチェックインし直されない可能性があります。これらの残されたライセンスは、2 時間後にチェックインし直されます。 ユーザーは、AppScan Enterprise Server がシャットダウンされる前にログアウトする必要があります。
AppScan Enterprise のインストール中に、アプリケーションがシステム内の新しいバージョンの存在を確認せずに Visual C++ 2015 Redistributable をインストールしようとしているため、より高いバージョンの Microsoft Visual C++ Redistributable 2017 が既にシステムにインストールされている場合、Visual C++ 2015 のインストールに失敗します。 Visual C++ 2017 RC Redistributable をアンインストールして、AppScan Enterprise をインストールし、Visual C++ 2017 Redistributable を再インストールしてください。
製品のインライン・ヘルプは、すべての言語で使用できますが、関連リンクは、日本語、フランス語、中国語 (簡体字)、および中国語 (繁体字) でのみ使用できます。 なし。
拡張ログ・ファイルのサイズが大きい場合 (2GB 以上)、スキャン・タブ概要レポートからのダウンロード・ログ・ファイルの操作の結果、zip ファイルが 0KB になることがあります。 このような場合は、AppScan Enterprise Agent サーバーの Logs ディレクトリーからファイルをコピーします。
Dynamic Analysis Configuration Client でスキャンを編集する場合、編集しているスキャンが AppScan Enterprise で稼働中ではないことを確認してください。稼働中の場合、スキャンの更新中にジョブが中断される可能があります。 Client の「ジョブ・プロパティー」ページで「できるだけ早く実行」チェック・ボックスをクリアしてから、「ジョブの更新」をクリックします。
スキャン・ジョブに記録されたログインしか含まれていない場合 (マニュアル探査または開始 URL がない場合)、スキャンはそのページの下ではクロールしません。 少なくとも 1 つの URL をマニュアル探査または「スキャン対象」ページの開始 URL に追加してください。
エージェントとスキャン対象の Web サイトとの間にファイアウォールが配備されている場合、パフォーマンス低下および検出漏れの結果となるリスクがあります。 AppScan Enterprise Server は、一部のファイアウォール製品が疑わしいネットワーク・アクティビティーとしてフラグを付ける可能性があるセキュリティー・テストを送信します。
ユーザー定義の正規化ルールが空の URL ストリングとなっている場合は、スキャンが終了しないおそれがあります。 ジョブ・プロパティー内で正規化ルールが定義されている場合は、それらの結果が有効な URL であることを確認することが重要です。
問題管理がレポートに関して実行された場合、「レポート・パックの概要」レポートがレポート・データと同期しなくなります。 問題管理タスクの完了時に数を同期化するには、レポート・パックを再実行する必要があります。
削除されたレポートは、ダッシュボードからすぐには除去されません。 変更を有効にするには、ダッシュボードを再実行する必要があります。
リストをソートするときに、日本語、および中国語では予想通りに照合順序が機能しない場合があります。 現地固有の照合として .NET および SQL 照合が使用されますが、本製品は ICU には準拠していません。

ADAC のジョブ中断機能が、9.0.3.11 以前で作成したジョブに機能しません。これは、ジョブの編集を保存するまで継続します。

根本原因: ADAC ジョブの開始 URL が ASE データベースに更新されないというアプリケーションの問題がありました。中断機能では ASE データベースのドメインを読み取っているため、ADAC ジョブに対する中断が機能しなくなっていました。開始 URL は dast.config ファイルに保管されているため、既存のファイルを手動で編集して ASE データベースに保管される URL に保存する必要があります。
  1. ADAC ジョブ (Created before 9.0.3.11 以前で作成したもの) を編集します。
  2. ジョブの更新を実行します。
  3. これによって構成したとおり (コンテンツ・スキャン・ジョブと同じよう) に中断が機能します。

AppScan Standard でスキャンを実行し、結果をレガシー XML ファイルとしてエクスポートして AppScan Enterprise で使用した際、この XML ファイルを使用してインポート済みジョブとして実行されました。その後、これは AppScan Enterprise 内のアプリケーションに関連付けられました。しかし、生成されたセキュリティー・レポートには、元の AppScan Standard レポートでは利用可能であるにもかかわらず、訪問済み URL が含まれていません。

 なし

AppScan Activity Recorder (AAR) の暗号化ファイルは AppScan Enterprise REST API を使用してインポートできます。コンテンツ・スキャン・ジョブでは、AppScan Dynamic Analysis Client (ADAC) ユーザー・インターフェースから直接試行した場合、サポートされません。

 方法 1: 暗号化ファイルのインポートに AppScan REST API を使用する。

AppScan REST API (POST /jobs/{jobId}/dastconfig/updatetraffic/{action}) を使用して暗号化ファイルをインポートします。この方法はユーザー・インターフェースの制限を回避し、AppScan-ADAC へのインポートを正常に行うことができ、スキャンが正しく機能するようになります。

方法 2: 代替の記録方法を検討する。

暗号化されたログイン・シーケンスが必要なシナリオでは、ADAC ジョブの実行時に AAR の代わりに ADAC 記録の使用を検討してください。ADAC 記録は、AAR アップロードで見られる暗号化関連の制限に遭遇することなく、より柔軟な対応が可能です。
AppScan Enterpriseバージョン 10.4.0 では、PDF、HTML、または XML 形式で生成されたセキュリティー・レポートにおいて、関連付けられた特定の Common Vulnerabilities and Exposures (CVE) ID に関係なく、各脆弱コンポーネントの問題に対して同じ汎用的な原因が表示されます。 なし
ASE サーバー上の SSL 証明書が無効 (期限切れ、信頼されていない) な場合、ASE サーバーから直接 ADAC v10.5.0 または v10.5.1 を新しいバージョンにアップグレードすると失敗します。これは、ADAC 10.5.0 および 10.5.1 がより厳格なセキュリティーを適用し、無効な証明書によるダウンロードをブロックするために発生します。

この問題の修正は ADAC バージョン 10.6 以降に含まれています。ADAC 10.6 以降にアップグレードすると、この問題は解決されます。

  1. 最新の ADAC バージョン (10.6 以降) を FNO からダウンロードします。
  2. ダウンロードした ADAC バージョンをターゲット・マシンにインストールします。
Note:
  • この回避策は、ASE サーバー上の SSL 証明書が無効な場合にのみ適用されます。
  • ASE サーバーに有効な SSL 証明書を使用しているユーザーは、この問題の影響を受けません。
Windows Server 2016 で TLS 1.2 を使用する場合、OLEDB が正しく機能しません。この問題により、ユーザーは TLS 1.2 でセキュアな接続を維持できなくなります。

この問題を解決するには、マシンに SQL Native Client をインストールしてください。SQL Native Client は以下のリンクからダウンロードできます。

SQL Native Client のダウンロード

追加情報:
  • Windows Server 2016 で OLEDB 機能が必要な場合、一時的な措置として TLS 1.1 にダウングレードすることができます。
  • TLS 1.2 の使用を希望する場合は、Windows Server 2019 へのアップグレードが推奨されます。
AppScan Enterprise v10.6.0 では、Common Vulnerability Scoring System (CVSS) ベクトルは英語でのみ表示されます。英語以外のユーザー・インターフェースでは、ベクトルは表示されません。 なし
AppScan Standard のテンプレートに基づく OpenAPI スキャンは、AppScan Enterprise ではサポートされていません。 AppScan Standard から AppScan Connect を介して AppScan Enterprise で OpenAPI スキャンを作成してください。
エクスポートされた XLS ファイルでは、"Issue Severity (Max) by Business Unit" および "Security Risk Rating by Business Unit" セクションに、実際のアプリケーション数ではなく、各ビジネス・ユニット (BU) のフィルター済みアプリケーション数がすべて表示されます。 なし
フィルター済みデータを含むダッシュボード上のリンクをクリックしても、フィルターはポートフォリオ・タブに引き継がれません。その結果、ポートフォリオ・タブにはフィルター済みアプリケーションのみではなく、対応するステータスを持つすべてのアプリケーションが表示されます。 ユーザーはポートフォリオ・タブのフィルター・セクションからアプリケーションを手動でフィルターする必要があります。
AppScan on Cloud から AppScan Enterprise に SCA の問題をインポートする際、SCA の問題の詳細が表示されません。 パッチを受け取るには、AppScan Enterprise L2 サポートにお問い合わせください。
PDF レポートでは、File: または URL: 属性が欠落しています。この属性はエクスポートされた XML ファイルにも存在しないため、PDF または HTML レポートに表示されません。この問題はバージョン AppScan Enterprise 10.6.0 に存在します。 現在、即時の修正は利用できません。この問題に対処するには、スキーマ・レベルの変更が必要です。ただし、次のリリースで Software Composition Analysis (SCA) 用の新しいスキャナーが導入され、この問題は解決される予定です。
DAST ジョブのレポート・パックが、完了後に正しく表示されない場合があります。 ページを更新し、レポート・パックを再度開いてください。通常、2 回目の試行で問題は解決します。
大規模なデータベースを使用して AppScan Enterprise v10.8.0 にアップグレードする場合、デフォルト・テンプレートのアップグレードにより、構成ウィザードの完了に通常より時間がかかることがあります。ただし、プロセスは自動的に正常に完了します。新規インストールは、想定される時間内に完了します。回避策はありません。修正は将来のリリースで予定されています。 なし
アプリケーション名に "IAST-(InternalScan)" などの特殊文字が含まれている場合、IAST エージェント・タブの問題数が正しく表示されません。これには、さまざまな重大度レベルの問題数の欠落が含まれ、その他の関連するエージェントの詳細も期待どおりに表示されません。 なし
構成ウィザードで MHS ライセンス・ファイルを使用すると、ライセンス検証エラーが発生する場合があります。このエラーは、ユーザー管理、Enterprise Console、または動的分析スキャナーなどのコンポーネントを構成しようとしたときに発生します。 「戻る」ボタンをクリックし、ライセンス画面に戻って構成を続行してください。
API エンドポイント get /license/decryptedData を使用すると、永久ライセンスの応答本文に有効期限が null と表示されます。永久ライセンスには有効期限がないはずですが、API が該当なしを示す代わりに誤って null を返すため、これは問題です。 なし
AppScan Dynamic Analysis Client (ADAC) を単独で起動した際に、クライアント側証明書またはスマート・カード・オプションを使用して AppScan Enterprise サーバーにサインインしようとすると、次のエラー・メッセージが表示されてログインが失敗します:

AppScan Enterpriseサーバーへの接続に失敗しました。

 ADAC を単独で起動する代わりに、AppScan Enterpriseブラウザー・コンソールから起動してください。
AppScan Enterprise v10.9.1 をアンインストールした後、管理者権限があっても、インストール・ディレクトリーから一部のファイルやフォルダーを削除できません。エラー・メッセージには、ファイルが javawe.exe プロセスによって使用中であることが示されます。 アンインストールが完了した後、マシンを再起動してください。その後、残りのフォルダー構造を削除できます。
Get/issues/{jobId} API から生成された PDF レポートには、以下の表示の問題があります:
  • CVSS スコア属性がスコアなしで表示されます。このスコアは、問題がモニター・ページでアプリケーションに関連付けられている場合にのみ計算されます。
  • URL 属性が非表示になる代わりに 'N/A' と表示されます。レポート名、レポートの説明、および問題の属性が翻訳されません。
  • ユーザー・インターフェースで選択した言語に関係なく、常に英語で表示されます。
 なし
Windows Server 2019 でのアップグレード中に、構成ウィザードが Java Virtual Machine (JVM) 初期化エラー (JVMJ9VM013W) で失敗し、アップグレードが停止する場合があります。 この問題は、AppScan Enterprise サーバー・サービスまたは動的分析スキャナーのプロセスが応答を停止し、インストーラーがそれらを停止できない場合に発生します。この問題を解決するには:
  1. アップグレードをキャンセルします。
  2. AppScan Enterprise サーバーおよび動的分析スキャナーをホストする Windows Server 2019 サーバーを再起動します。
  3. アップグレードを再開します。
アクセス制御の不備および非認証ファイルを含むスキャンを AppScanStandard から AppScan Enterpriseにプッシュすると、報告される脆弱性が元のスキャンと一致しない場合があります。例えば、"権限の低いユーザーを使用したアクセス制御の不備" の脆弱性が欠落したり、予期しない非認証の問題が表示されたりする場合があります。 この不一致は通常、2 つの製品間の探査データの違い、または AppScan Enterprise スキャン中の一時的なサーバー・エラー (HTTP 500 など) が原因で発生します。

この問題を解決するには:

  1. AppScan Enterprise のトラフィック・ログでサーバー・エラーを確認してください。
  2. 必要に応じてスキャンを再実行してください。
"権限の低いユーザーを使用したアクセス制御の不備" の脆弱性に対して単一問題の再テストを実行すると、脆弱性が修正されていなくても、再テストの完了後にレポートから問題が消えます。 この脆弱性に対して単一問題の再テスト機能を使用しないでください。代わりに、アプリケーションのフル・スキャンを実行して、アクセス制御の不備の脆弱性が解決されたかどうかを確認してください。
モニター・ページから生成されたセキュリティー・レポートで、一部の問題タイプに対して CVSS 4.0 ベクトルが 2 回表示される場合があります。これは、サポートされているすべてのレポート形式 (HTML、PDF、XML、および Excel) で断続的に発生します。 なし
スキャン・レベルの属性 (スキャン・タイプ、テスト最適化レベル、およびテスト・ポリシー) は、インポートされたジョブでは設定されません。
Note:
AppScan Standard からの XML 形式のスキャン結果のインポート機能は、バージョン 10.5.0 以降で非推奨となりました。AppScan Source の暗号化ファイルのサポートは、将来のリリースで予定されています。
 なし
サイレント・モードで .NET 8 エージェント・インストーラーを実行する場合、必要な VC++ ランタイムおよび .NET 8 Desktop Runtime がサーバーにまだインストールされていないと、インストールが失敗します。これは、メインのインストーラー・プロセスが既に Windows MSI エンジンを使用している間に、インストーラーがこれらの前提条件をインストールしようとするために発生します。 サイレント・モードで .NET 8 エージェント・インストーラーを実行する前に、必要な Microsoft Visual C++ v14 Redistributable および Microsoft Windows Desktop Runtime 8.0.28 を手動でインストールしてください。