规则更新

AppScan® Source 版本 10.10.0 中的规则更新


语言	CWE	描述
C#	CWE-89	减少 SQLi 检测中的误报。
CSS	CWE-79	减少对 `.css` 文件进行硬编码变量检查时的误报。
Go	CWE-79	减少 `fprintf` 检查中产生的误报。
IaC Docker	CWE-22	检查添加到 Dockerfile 中的敏感路径。
IaC Kubernetes	CWE-209	已添加一项检查，用于查找遗留在 `.yaml` 配置文件中的堆栈跟踪代码。
Java	CWE-78	查找 `Runtime.getRunTime()` 的内联调用。
	CWE-757	增强了对不安全和已损坏项的检查列表。
	CWE-916	检查 `PBEKeySpec` 和 `PBEParameterSpec` 的迭代计数是否过低。
	CWE-1188	针对使用大值或用户可控值的 `StringBuilder` 构造函数进行拒绝服务检查。
	CWE-209	检查代码中 `System.out` 和 `System.err` 的使用情况（这些是应从生产代码中移除的调试调用）。
PDP	CWE-89	已为 `sqlite_escape_string` 添加验证器检查。
Python	CWE-78	查找 `os.system` 的不安全使用情况。
Python	CWE-79	提高了 Python Django 规则的清晰度。
密钥	CWE-798	一些无关模式被移除，不再作为结果。
	CWE-798	在 `web.config` 文件中查找硬编码凭证。
	CWE-1051	对硬编码 IP 地址的检查已进行调整，可避免将貌似 IP 地址的非 IP 字符串误报。
	CWE-1051	移除了硬编码 IP 地址检查的无关模式。
	CWE-798	移除了硬编码凭证的无关模式：避免在 Rust 代码中使用无关模式。在“Secrets - Creds - Key : value pair”规则中增加了检查，以消除 Python 文件中没有引号的结果。增加了检查以过滤无关的密码，如 `1234`、`wrongpassword`、`testpassword`、`noreply`。对其他代码片段进行了调整，以消除包含 `1234` 等密码的结果。目前，键值对规则会查找上下文直到行尾。因此，移除了具有 `,` 或 `"` 的行尾。
	CWE-1051	误报减少：硬编码 IP 地址检查可避免将疑似版本号的字符串误报
	CWE-798	减少 Atlassian 机密检测中的误报。
	CWE-798	减少机密信息中密钥/值对的误报。
	CWE-798	新增检测范围，可查找字符串中包含“1234”作为其一部分的硬编码密码。

AppScan® Source 10.9.0 中的规则更新

注：

新规则


语言	CWE	描述
所有语言	CWE-798	改进了降噪性能
C#	CWE-1333	检查应用于 regex 对象的超时¹
	CWE-89	通过使用 `String.Append` 构建查询语句而新捕获的 SQLi
		更新了 `Microsoft.CodeAnalysis.CSharp.Scripting` 和 `Microsoft.AspNetCore.Mvc.ViewFeatures` 的安全信息
C# 源代码扫描程序	CWE-94	检查 `CSharpScript.EvaluateAsync`。¹
	CWE-532	检查用户名或密码等个人身份信息 (PII) 的记录。¹
	CWE-111	检查 `DllImport` 的不安全使用。¹
ColdFusion	CWE-328	调整了对提高性能的检查
HTML	CWE-319	避免 URL 中出现 localhost 这样的干扰信息
IaC	CWE-311	针对 Amazon 负载均衡器中的正确 TLS 设置增加了检查
Java 源代码扫描程序	CWE-532	检查用户名或密码等个人身份信息 (PII) 的记录。¹
	CWE-102	检查 Struts 验证 XML 文件中是否存在重复的表单名称。¹
	CWE-104	检查是否存在继承了 `ActionForm` 但未进行验证的类。¹
JavaScript	CWE-598	查找 JavaScript 文件中的 `URLSearchParams` 缺陷。^1.
PHP	CWE-111	检查包含不安全调用的 `FFI::cdef` 的使用。¹
Python	CWE-502	查找 Java 中的不安全反射¹
Python	CWE-111	检查未对参数使用完全限定路径的 `ctypes.DLL` 的使用。¹

AppScan® Source V10.8.0 中的规则更新

注：

新规则
减少规则中的无关内容


语言	CWE	描述
ASP.NET	CWE-1188	项目配置中启用了无 Cookie 会话状态。²
ASP.NET	CWE-79	代码中内嵌表达式的潜在 XSS。²
C#	CWE-601	在变量中可能由用户控制的数据的重定向请求。²
	CWE-185	正则表达式注入。²
	CWE-78	进行了调整，以减少操作系统注入的无关结果。
HTML	CWE-79	文件扩展名的新规则： htm html rhtml xhtml cshtml vbhtml
	CWE-319
	CWE-524
	CWE-525
	CWE-598
	CWE-1021
	CWE-1022
IaC	CWE-798	进行了调整，以减少 TypeScript 代码构造的无关结果。
	CWE-1051	进行了调整，以减少 HTML 文件中 IP 模式的无关结果。
	CWE-1328	进行了调整，以减少 Docker 图像参考的无关结果。
IaC Terraform	CWE-410	不安全的负载均衡器配置。¹
Java	CWE-337	Java 代码中 `SecureRandom` 实例的可预测种子。²
	CWE-918	`RestTemplate().exchange` 中的服务器端请求伪造。²
	CWE-185	Java 代码中的正则表达式注入。²
	CWE-244	密码存储在 Java 字符串对象中。²
JavaScript	CWE-79	`document.referrer` 的用法不安全。²
	CWE-209	进行了调整，以减少无关的结果。
	CWE-359	进行了调整，以减少无关的结果。
	CWE-1022	进行了调整，以减少窗户 `.open` 结果的无关结果。
PHP	CWE-79	PHP 内用户控制的数据转换为 HTML。²
Python Django	CWE-79	现在收集 HTML 文件以查看 Python 添加了新规则。
	CWE-89
	CWE-200
	CWE-201
	CWE-212
	CWE-352
	CWE-497
	CWE-522
	CWE-523
	CWE-795
	CWE-918
	CWE-1021
	CWE-1188
	CWE-1295
密钥	CWE-798	硬编码的基本认证凭证。¹
	CWE-798	正在 URL 查询字符串中查找已找到的硬编码密码。
	CWE-284	进行了调整，以减少 Azure 共享访问签名令牌暴露结果中的无关结果。
VB.NET	CWE-502	可能的反序列化。²
Visual Basic	CWE-78	进行了调整，以减少无关的结果。
Visual Basic	CWE-328	进行了调整，以减少无关的结果。

AppScan® Source V10.7.0 中的规则更新

新规则
规则修复


语言		CWE	更改
常规		CWE-319	更好地处理所有语言的开放式通信规则，以避免误报。
.NET	ASP.NET	CWE-1188	ASP.NET 项目配置中启用了无 Cookie 会话状态。
	C#	CWE-319	检测到开放通信方案。
		CWE-328	检测到弱密码算法。
		CWE-327	检测到未进行签名验证的 JWT 构建器。
	VB.NET	CWE-1173	VB 代码中禁用了 HTTP 请求验证。
	VB.NET	CWE-328	VB 代码中使用了弱加密算法。
Angular		CWE-94	沙盒 VM 中有潜在代码注入漏洞。¹
Angular		CWE-312	本地存储会避免与排序方向相关的 `setItem` 调用。
AngularJS 和 AllFolders 属性选项卡		CWE-477	找到弃用的调用：(ng-bind-html-unsafe)。
Apex		CWE-943	SOQL 注入。
		CWE-943	SOSL 注入。
		CWE-328	选择了弱散列算法。
		CWE-79	脚本或样式跨站点脚本编制 (XSS)。
ASP		CWE-319	在 ASP 代码中检测到开放通信方案。
ASP		CWE-79	使用 `Server.HTMLEncode` 检查验证是否正确。
C/C++		CWE-367	临时文件名函数的潜在危险使用。已更正上下文。²
		CWE-78	检测到潜在的命令注入。扩大了覆盖范围。²
		CWE-250	`CreateFile` 调用似乎违反了最小特权原则。
		CWE-250	`CreateNamedPipe` 缺少 `FILE_FLAG_FIRST_PIPE_INSTANCE` 标志。
		CWE-757	检测到不安全地使用了 (SSL/TLS) 协议。
		CWE-295	检测到 Curl 配置的潜在危险用法（此类别中有七条不同的规则）。
		CWE-427	检测到可能违反最小特权原则的注册表操控行为。
		CWE-611	启用了不安全的外部实体处理。
ColdFusion		CWE-524	`cfCache` 缓存安全页面。
		CWE-502	`cfWddx` 缺少 WDDX 验证。
		CWE-862	在 `cfFunction` 中未验证客户机。
		CWE-319	不安全的通信。
		CWE-307	多重提交验证。
		CWE-327	加密函数中使用了不安全算法。
CSS		CWE-79	进行了调整，以避免无关的结果。
Dart		CWE-522	已针对潜在敏感字段启用 `AutoComplete`。
		CWE-319	检测到与 `HttpServer` 的开放通信方案。
		CWE-319	检测到开放式套接字通信。
		CWE-319	检测到与 URI 的开放通信方案。
		CWE-79	在 Dart 代码中不安全地使用了 window.open。
		CWE-319	字符串中检测到开放通信方案。
		CWE-79	检测到不安全的内容安全策略关键字。
		CWE-328	在呈现结果时更具选择性，避免更显著的无关结果。
		CWE-319	进行了调整，以避免无关的结果。
Docker		CWE-770	限制 CPU 以防止拒绝服务 (DoS) 攻击。
Docker		CWE-770	限制失败时的重启次数，以防止拒绝服务 (DoS) 攻击。
Go		CWE-489	检测到用于 HTTP 的 pprof 调试包。
		CWE-1004	Golang 代码包含不安全的 `http.Cookie`。
		CWE-319	Golang 代码中检测到开放通信方案。
Groovy		CWE-319	在 Groovy 代码中检测到开放通信方案。
Groovy		CWE-79	在 Groovy 源代码中检测到潜在的跨站脚本漏洞。
Java		CWE-489	在 Web 安全中启用调试导致 Spring 中的数据泄露。
		CWE-1390	忽略 SAML 中的注释会导致身份验证失效。
		CWE-548	Tomcat 配置中缺省 Servlet 的目录列表不安全。
		CWE-276	在 Java 中检测到不安全的文件权限用法。
		CWE-489	在 Java 代码中检测到打印堆栈跟踪的操作。
		CWE-489	在 Android 应用程序中，debuggable 标志被设置为 true。
		CWE-1188	在 Android 代码中检测到不正确的共享首选项模式。
JavaScript		CWE-359	不安全的事件传输策略：已更正上下文。²
		CWE-79	在 `jQuery.append` 中检测到潜在的 XSS 漏洞。现在性能更快。²
		CWE-79	覆盖 Mustache 转义方法有风险。
		CWE-319	不安全的事件传输策略。
		CWE-200	在 `window.postMessage` 调用中添加了对危险目标来源的检查。
		CWE-913	进行了修改，以避免产生无关的结果。
Java 源代码扫描程序		CWE-918	正在 `RestTemplate().exchange` 调用中查找 SSRF。
		CWE-303	正在查找 `NoOpPasswordEncoder.getInstance` 危险调用。
		CWE-89	正在查找 SQLi 的其他案例。
		CWE-22	正在更多位置查找可能的路径遍历问题
		CWE-798	正在 `HashMap.put` 调用和 Setter 方法中查找硬编码凭证。
Jquery		CWE-79	进行了修改，以避免产生无关的结果。
Kotlin		CWE-319	在 Kotlin 代码中检测到开放通信。
NodeJS		CWE-614	Cookie 缺少安全标志，或其标志被设置为不安全的值。
		CWE-328	加密 `createCipheriv` 中使用了不安全的算法。
		CWE-295	为禁用 node-curl 而进行的 SSL 证书验证配置不安全。
		CWE-78	检测到 Exec shell spawn 调用。
		CWE-1004	由于缺少 `HTTPOnly` Cookie 属性，导致配置不安全。
Objective-C		CWE-319	在 Objective-C 代码中检测到开放通信方案。
Objective-C		CWE-798	进行了修改，以避免某些额外的无关结果。
PHP		CWE-1004¹	缺少 `HttpOnly` 标志的敏感 Cookie。
		CWE-614¹	HTTPS 会话中不带 `secure` 属性的敏感 cookie。
		CWE-79¹	检测到嵌入式 PHP 变量。
		CWE-98¹	PHP 代码中检测到潜在的文件包含漏洞。
		CWE-611¹	PHP 代码中检测到 XML 外部实体注入。
		CWE-78	PHP 命令执行可能使用用户提供的数据。扩大了覆盖范围。²
		CWE-644	发现潜在的标头注入。扩大了覆盖范围。²
		CWE-327	检测到不安全的算法使用。扩大了检查和覆盖范围。²
		CWE-319	在 PHP Symfony 框架中检测到开放通信。
		CWE-1004	在 `setcookie` 中缺失或不安全的 `HTTPOnly` 标志。
		CWE-319	检测到开放通信方案。
		CWE-544	`error_reporting` 指令未设置为允许可能的最高级别的错误报告。
		CWE-798	检查该值并确定该值是否确实是代表存储在代码中的可能明文密码的字符串文字。
PL/SQL		CWE-331	`DBMS_RANDOM` 的用法不安全。
Python		CWE-311	使用 `http` 的 URL。扩大了覆盖范围。²
		CWE-311	TOCTTOU 争用条件临时文件。修复了覆盖范围。²
		CWE-367	TOCTTOU 争用条件临时文件。
		CWE-319	使用 `http` 的 URL。
		CWE-78	Python OS 注入。
		CWE-319	不安全的 FTP 用法。
		CWE-78	Popen 命令注入。
		CWE-276	结合使用 777 与 umask。
ReactNative		CWE-319	检测到开放式通信。已更正上下文。²
		CWE-319	检测到开放式通信。
		CWE-295	检测到禁用 SSL 证书固定。
RPG		CWE-319	代码中检测到开放通信。
Ruby		CWE-78	反引号正则表达式的不安全使用需要改进。扩大了覆盖范围。²
		CWE-78	反引号的不安全使用。扩大了覆盖范围。²
		CWE-425	Ruby 批量赋值。
		CWE-359	Ruby 信息泄露。
Scala		CWE-319	在 Scala 代码中检测到开放通信方案。
Scala		CWE-79	在 Scala 源代码中检测到利用 Cookie 访问的潜在客户端脚本漏洞。
密钥		CWE-1051	检测到硬编码 IP 地址。扩大了覆盖范围。²
		CWE-798	检测到硬编码凭证。扩大了覆盖范围。²
		CWE-798	避免最小化 JS 文件。
		CWE-798	避免分析翻译文件以减少无关结果
Swift		CWE-319	在 Swift 代码中检测到开放通信方案。
Swift		CWE-79	在 iOS `UIWebView` 中使用 `loadRequest()` 时可能存在跨站点脚本编制漏洞。
Terraform		CWE-359	检测到 AWS 实例泄露了用户数据机密。
		CWE-778	Azure 日志监视器配置文件应定义所有必需类别。
		CWE-732	在文件夹、项目或组织级别使用了缺省服务帐户。
		CWE-671	SQL Server 中未启用电子邮件服务和联合管理员。
		CWE-923	确保 Azure 存储帐户缺省网络访问设置为“拒绝”。
		CWE-923	确保 GCP 防火墙规则不允许不受限制的访问。
		CWE-732	Google Compute 实例可公开访问。
		CWE-732	Google 存储桶可公开访问。
		CWE-732	Amazon S3 存储桶的访问权限不安全。
		CWE-1220	对出口安全组 `cidr_blocks` 的新规则检查设置过于宽松。
TypeScript		CWE-943	在 TypeScript 文件中查找 NoSQL MongoDB 注入。
TypeScript		CWE-943	查找 SQLi 的更多案例。
Visual Basic		CWE-319	在 VB 代码中检测到开放通信方案。
VueJS		CWE-79	已进行调整，以避免在方法声明中检测到问题时生成发现项。
Xamarin		CWE-319	在 Xamarin 中检测到开放通信。