規則更新

AppScan® Source 10.10.0 版中的規則更新


語言	CWE	說明
C#	CWE-89	降低 SQLi 偵測中的雜訊。
CSS	CWE-79	降低在 `.css` 檔案中硬編碼變數檢查所發現的雜訊。
執行	CWE-79	降低 `fprintf` 檢查時產生的雜訊。
IaC Docker	CWE-22	檢查是否在 DockerFile 中新增了敏感路徑。
IaC Kubernetes	CWE-209	在 `.yaml` 配置檔中新增檢查殘留堆疊追蹤程式碼的機制。
Java	CWE-78	搜尋 `Runtime.getRunTime()` 的內聯呼叫。
	CWE-757	擴充我們檢查為不安全或破損項目的清單。
	CWE-916	檢查 `PBEKeySpec` 與 `PBEParameterSpec` 是否使用較弱的迭代次數。
	CWE-1188	使用大型或由使用者控制的值的 `StringBuilder` 建構函式阻斷服務檢查。
	CWE-209	檢查程式碼中 `System.out` 與 `System.err` 的使用（為除錯呼叫，應從生產程式碼中移除）。
PDP	CWE-89	新增針對 `sqlite_escape_string` 的驗證器檢查。
Python	CWE-78	尋找不安全的 `os.system` 使用方式。
Python	CWE-79	改善 Python Django 的規則清晰度。
機密	CWE-798	將一些雜訊模式作為發現項目移除。
	CWE-798	在 `web.config` 檔案中搜尋硬編碼的認證資訊。
	CWE-1051	檢查硬編碼的 IP 位址，並調整以避免誤判看似 IP 位址但實際上不是的字串。
	CWE-1051	移除寫在程式中的 IP 位址檢查的雜訊模式。
	CWE-798	移除寫在程式中憑證的雜訊模式：避免 Rust 程式碼中出現雜訊模式。在「密碼 - 憑證 - 金鑰：值」對規則中新增檢查，以消除 Python 檔案中無引號的發現項目。新增檢查以過濾雜訊密碼，例如 `1234`、`wrongpassword`、`testpassword`、`noreply`。調整其他程式碼片段，以消除特定發現項目，例如包含 `1234` 的密碼。目前的「金鑰：值」對規則會尋找環境定義，直到該行結束。因此，請移除含有 `,` 或 `"` 的行結尾。
	CWE-1051	減少干擾：硬編碼 IP 位址檢查現已避免將版本號誤判為 IP 位址
	CWE-798	減少在 Atlassian 機密偵測中的干擾。
	CWE-798	減少在機密金鑰\值配對中的干擾。
	CWE-798	新增檢查範圍，以偵測字串中包含 1234 的硬編碼密碼。

AppScan® Source 10.9.0 版中的規則更新

註：

新增規則


語言	CWE	說明
所有語言	CWE-798	改善減少干擾功能
C#	CWE-1333	Regex 物件會套用逾時檢查¹
	CWE-89	透過 `String.Append` 建構查詢，擷取新的 SQLi
		更新 `Microsoft.CodeAnalysis.CSharp.Scripting` 及 `Microsoft.AspNetCore.Mvc.ViewFeatures` 的安全資訊
C# 原始碼掃描器	CWE-94	檢查是否有 `CSharpScript.EvaluateAsync`。¹
	CWE-532	檢查是否記載個人識別資訊 (PII)，例如使用者名稱或密碼。¹
	CWE-111	檢查 `DllImport` 的危險用法。¹
ColdFusion	CWE-328	調整檢查以改善效能
HTML	CWE-319	避免 URL 中出現 localhost 樣式的干擾
IaC	CWE-311	額外檢查 Amazon 負載平衡器中的 TLS 設定適當
Java 原始碼掃描器	CWE-532	檢查是否記載個人識別資訊 (PII)，例如使用者名稱或密碼。¹
	CWE-102	檢查 Struts 驗證 XML 檔案中是否有重複的表單名稱。¹
	CWE-104	檢查擴充 `ActionForm` 的類別是否未經驗證。¹
JavaScript	CWE-598	在 JavaScript 檔案中尋找 `URLSearchParams` 缺陷¹
PHP	CWE-111	檢查 `FFI::cdef` 的使用是否包含不安全的呼叫。¹
Python	CWE-502	在 Java 中尋找不安全的反映¹
Python	CWE-111	檢查 `ctypes.DLL` 的使用是否未對引數使用完整路徑。¹

AppScan® Source 10.8.0 版中的規則更新

註：

新增規則
已減少規則中的雜訊


語言	CWE	說明
ASP.NET	CWE-1188	在專案配置中啟用了無 Cookie 階段作業狀態。²
ASP.NET	CWE-79	程式碼中的行內表示式有潛在 XSS。²
C#	CWE-601	變數中有內含潛在使用者控制資料的要求重新導向。²
	CWE-185	正規表示式注入。²
	CWE-78	針對 OS 注入，已進行調整，以減少有雜訊的發現項目。
HTML	CWE-79	副檔名的新規則： htm html rhtml xhtml cshtml vbhtml
	CWE-319
	CWE-524
	CWE-525
	CWE-598
	CWE-1021
	CWE-1022
IaC	CWE-798	針對 TypeScript 程式碼建構，已進行調整，以減少有雜訊的發現項目。
	CWE-1051	針對 HTML 檔案中的 IP 模式，已進行調整，以減少有雜訊的發現項目。
	CWE-1328	針對 Docker 映像檔參照，已進行調整，以減少有雜訊的發現項目。
IaC Terraform	CWE-410	負載平衡器配置不安全。¹
Java	CWE-337	Java 程式碼中有 `SecureRandom` 執行個體的可預測種子。²
	CWE-918	`RestTemplate().exchange` 中有偽造伺服器端要求。²
	CWE-185	Java 程式碼中有正規表示式注入。^2.
	CWE-244	密碼已儲存在 Java 字串物件中。²
JavaScript	CWE-79	`document.referrer` 的使用方式不安全。²
	CWE-209	已進行調整，以減少有雜訊的發現項目。
	CWE-359	已進行調整，以減少有雜訊的發現項目。
	CWE-1022	針對 window`.open` 發現項目，已進行調整，以減少有雜訊的發現項目。
PHP	CWE-79	PHP 內使用者控制的資料已轉換為 HTML。²
Python Django	CWE-79	現在收集 HTML 檔案以針對 Python 進行檢閱已新增新規則。
	CWE-89
	CWE-200
	CWE-201
	CWE-212
	CWE-352
	CWE-497
	CWE-522
	CWE-523
	CWE-795
	CWE-918
	CWE-1021
	CWE-1188
	CWE-1295
機密	CWE-798	寫在程式中的基本鑑別認證。¹
	CWE-798	尋找在 URL 查詢字串內找到之寫在程式中的密碼。
	CWE-284	已進行調整，以減少 Azure 共用存取簽章記號外洩發現項目中有雜訊的發現項目。
VB.NET	CWE-502	可能發生解除序列化。²
Visual Basic	CWE-78	已進行調整，以減少有雜訊的發現項目。
Visual Basic	CWE-328	已進行調整，以減少有雜訊的發現項目。

AppScan® Source 10.7.0 版中的規則更新

新增規則
規則修正


語言		CWE	變更
一般		CWE-319	更妥善處理所有語言的開放通訊規則，避免產生有雜訊的發現項目。
.NET	ASP.NET	CWE-1188	在 ASP.NET 專案配置中啟用了無 Cookie 階段作業狀態。
	C#	CWE-319	測到開放通訊架構。
		CWE-328	偵測到低強度密碼演算法。
		CWE-327	偵測到不含簽章驗證的 JWT Builder。
	VB.NET	CWE-1173	在 VB 程式碼中停用了 HTTP 要求驗證。
	VB.NET	CWE-328	在 VB 程式碼中使用了低強度密碼演算法。
Angular		CWE-94	沙箱 VM 中有潛在程式碼注入漏洞。¹
Angular		CWE-312	本端儲存空間可避免與排序方向有關的 `setItem` 呼叫。
AngularJS 與 AllFolders 內容標籤		CWE-477	找到已淘汰的呼叫：(ng-bind-html-unsafe)。
Apex		CWE-943	SOQL 注入。
		CWE-943	SOSL 注入。
		CWE-328	選擇了低強度雜湊演算法。
		CWE-79	指令碼或樣式跨網站指令碼攻擊 (XSS)。
ASP		CWE-319	在 ASP 程式碼中測到開放通訊架構。
ASP		CWE-79	使用 `Server.HTMLEncode` 檢查驗證是否正確。
C/C++		CWE-367	使用的暫存檔命名函式可能有危險。修正內容。²
		CWE-78	偵測到潛在指令注入。已擴大涵蓋範圍。²
		CWE-250	`CreateFile` 呼叫似乎違反最低專用權原則。
		CWE-250	`CreateNamedPipe` 缺少 `FILE_FLAG_FIRST_PIPE_INSTANCE` 旗標。
		CWE-757	發現使用了不安全的 (SSL/TLS) 通訊協定。
		CWE-295	發現使用的 Curl 配置可能有危險（此類配置中使用了七個不同規則）。
		CWE-427	偵測到可能的最低專用權登錄操作原則。
		CWE-611	啟用了不安全的外部實體處理。
ColdFusion		CWE-524	`cfCache` 快取安全頁面。
		CWE-502	`cfWddx` 缺少 WDDX 驗證。
		CWE-862	用戶端未在 `cfFunction` 中驗證。
		CWE-319	不安全的通訊。
		CWE-307	多個提交驗證。
		CWE-327	加密函式中使用了不安全的演算法。
CSS		CWE-79	已進行調整，以避免有雜訊的發現項目。
Dart		CWE-522	為可能屬於機密的欄位開啟了 `AutoComplete`。
		CWE-319	`HttpServer` 偵測到開放通訊架構。
		CWE-319	偵測到開放 Socket 通訊。
		CWE-319	偵測到含有 URI 的開放通訊架構。
		CWE-79	不安全地使用了以 Dart 程式碼開啟的視窗。
		CWE-319	在字串中偵測到開放通訊架構。
		CWE-79	找到不安全的內容安全原則關鍵字。
		CWE-328	在呈現發現項目時更具選擇性，並避免較明顯的雜訊發現項目。
		CWE-319	已進行調整，以避免有雜訊的發現項目。
Docker		CWE-770	限制 CPU 以防止阻斷服務 (DoS) 攻擊。
Docker		CWE-770	限制失敗時重新啟動的次數，以防止阻斷服務 (DoS) 攻擊。
執行		CWE-489	針對偵測到的 HTTP 除錯套件 pprof。
		CWE-1004	Golang 程式碼含有不安全的 `http.Cookie`。
		CWE-319	在 Golang 程式碼中偵測到開放通訊架構。
Groovy		CWE-319	在 Groovy 程式碼中偵測到開放通訊架構。
Groovy		CWE-79	在 Groovy 原始碼中偵測到潛在跨網站 Scripting 漏洞。
Java		CWE-489	在 Web 安全機制中啟用除錯功能，導致資料顯示在 Spring 中。
		CWE-1390	忽略 SAML 中的註解，導致鑑別中斷。
		CWE-548	Tomcat 配置中預設 servlet 提供的目錄清單不安全。
		CWE-276	在 Java 中偵測到不安全的檔案許可權使用情況。
		CWE-489	在 Java 程式碼中偵測到列印堆疊追蹤。
		CWE-489	可除錯標籤會在 Android 應用程式中設為 true。
		CWE-1188	在 Android 程式碼中偵測到不當的共用喜好設定模式。
JavaScript		CWE-359	不安全的事件傳輸原則：修正內容。²
		CWE-79	在 `jQuery.append` 中偵測到潛在的 XSS 漏洞。效能現在更為快速。²
		CWE-79	覆寫 Mustache 跳出方法是危險的做法。
		CWE-319	不安全的事件傳輸原則。
		CWE-200	已在 `window.postMessage` 呼叫中新增危險目標來源檢查功能。
		CWE-913	已進行修改，以避免有雜訊的發現項目。
Java 原始碼掃描器		CWE-918	在 `RestTemplate().exchange` 呼叫中尋找 SSRF。
		CWE-303	尋找 `NoOpPasswordEncoder.getInstance` 危險呼叫。
		CWE-89	尋找 SQLi 的其他案例。
		CWE-22	在更多地方尋找可能的路徑遍訪問題
		CWE-798	在 `HashMap.put` 呼叫和 setter 中尋找寫在程式中的憑證。
Jquery		CWE-79	已進行修改，以避免有雜訊的發現項目。
Kotlin		CWE-319	在 Kotlin 程式碼中偵測到開放通訊。
NodeJS		CWE-614	Cookie 遺漏安全旗標，或是將旗標設定為不安全的值。
		CWE-328	在密碼編譯 `createCipheriv` 中使用了不安全的演算法。
		CWE-295	停用 Node-curl 的 SSL 憑證驗證配置不安全。
		CWE-78	發現了 Exec 殼層產生。
		CWE-1004	不安全的配置：缺少 `HTTPOnly` Cookie 屬性。
Objective-C		CWE-319	在 Objective-C 程式碼中測到開放通訊架構。
Objective-C		CWE-798	已進行修改，以避免增加有雜訊的發現項目。
PHP		CWE-1004¹	機密 Cookie 缺少 `HttpOnly` 旗標。
		CWE-614¹	HTTPS 階段作業中的機密 Cookie 缺少 `secure` 屬性。
		CWE-79¹	偵測到內嵌的 PHP 變數。
		CWE-98¹	在 PHP 程式碼中偵測到潛在的檔案併入漏洞。
		CWE-611¹	在 PHP 程式碼中偵測到 XML 外部實體注入。
		CWE-78	PHP 指令執行可能使用了使用者提供的資料。已擴大涵蓋範圍。²
		CWE-644	發現潛在的標頭注入。已擴大涵蓋範圍。²
		CWE-327	偵測到使用不安全的演算法。已擴大檢查與涵蓋範圍。²
		CWE-319	在 PHP Symfony 架構中偵測到開放通訊。
		CWE-1004	`setcookie` 中缺少 `HTTPOnly` 旗標或旗標不安全。
		CWE-319	測到開放通訊架構。
		CWE-544	`error_reporting` 指引未設為允許可能的最高層次錯誤報告。
		CWE-798	檢查值，並確定值是否真的是代表以純文字格式儲存在程式碼中之可能密碼的字串文字。
PL/SQL		CWE-331	`DBMS_RANDOM` 的使用方式不安全。
Python		CWE-311	URL 使用了 `http`。已擴大涵蓋範圍。²
		CWE-311	TOCTTOU 競爭條件暫存檔。已修正涵蓋範圍。²
		CWE-367	TOCTTOU 競爭條件暫存檔。
		CWE-319	URL 使用了 `http`。
		CWE-78	Python OS 注入。
		CWE-319	不安全的 FTP 用法。
		CWE-78	Popen 指令注入。
		CWE-276	使用 777 搭配 umask。
ReactNative		CWE-319	偵測到開放通訊。修正內容。²
		CWE-319	偵測到開放通訊。
		CWE-295	偵測到停用 SSL 綁定。
RPG		CWE-319	在程式碼中偵測到開放通訊。
Ruby		CWE-78	反引號的使用方式不安全，規則運算式需要改進。已擴大涵蓋範圍。²
		CWE-78	反引號的使用方式不安全。已擴大涵蓋範圍。²
		CWE-425	Ruby 大量指派。
		CWE-359	Ruby 資訊揭露。
Scala		CWE-319	在 Scala 程式碼中偵測到的開放通訊架構。
Scala		CWE-79	在 Scala 原始碼中偵測到透過 cookie 存取的潛在用戶端 scripting 漏洞。
機密		CWE-1051	偵測到寫在程式中的 IP 位址。已擴大涵蓋範圍。²
		CWE-798	偵測到寫在程式中的認證。已擴大涵蓋範圍。²
		CWE-798	避免壓縮的 JS 檔案。
		CWE-798	避免分析轉換檔以減少雜訊
Swift		CWE-319	在 Swift 程式碼中偵測到的開放通訊架構。
Swift		CWE-79	在 iOS `UIWebView` 中使用 `loadRequest()` 時偵測到潛在的跨網站指令碼攻擊漏洞。
Terraform		CWE-359	偵測到 AWS 執行個體揭露使用者資料機密。
		CWE-778	Azure 日誌監視設定檔應定義所有必要類別。
		CWE-732	預設服務帳戶用於資料夾、專案或組織層級。
		CWE-671	SQL 伺服器中未啟用電子郵件服務和共同管理員。
		CWE-923	確認 Azure 儲存體帳戶的預設網路存取已設為拒絕。
		CWE-923	確認 GCP 防火牆規則不允許未限制的存取。
		CWE-732	Google Compute 執行個體可公開存取。
		CWE-732	Google Storage 儲存區可公開存取。
		CWE-732	Amazon S3 儲存區的存取權不安全。
		CWE-1220	輸出流量安全群組 `cidr_blocks` 新增的規則檢查功能設為「非強制」。
TypeScript		CWE-943	在 TypeScript 檔案中尋找 NoSQL MongoDB 注入。
TypeScript		CWE-943	尋找 SQLi 的其他案例。
Visual Basic		CWE-319	在 VB 程式碼中測到開放通訊架構。
VueJS		CWE-79	已進行調整，避免已在方法宣告中找到發現項目的情況下產生發現項目。
Xamarin		CWE-319	在 Xamarin 中偵測到開放通訊。