Check for proper format string handling in back end c code

Check for proper format string handling in back end c code

┬ę Copyright Shutterstock/ chainarong06

Was bedeutet Check for proper format string handling in back end c code?

Die Software verwendet eine Funktion, die eine Formatzeichenfolge als Argument akzeptiert. Die Formatzeichenfolge stammt jedoch aus einer externen Quelle.

Wenn ein Angreifer eine extern gesteuerte Formatzeichenfolge ├Ąndern kann, kann dies zu Puffer├╝berl├Ąufen, Denial-of-Service- oder Datendarstellungsproblemen f├╝hren.

Dieser Scanner sucht im erhobenen Code nach Indikatoren f├╝r Fehler in der Formatzeichenfolge. Dies erfolgt durch das Ausgeben von Eingabetext-basierten Zeichenfolgen, die von C-Code erhoben wurden und erwartet, dass eine formatierte Ausgabe erzeugt wird und nach Code-Absturz und unnat├╝rlichen Sitzungsschlie├čungen sucht.

Tipp

├ťberpr├╝fen Sie die Sicherheit Ihrer Website mit unserem kostenlosen Security Crawler oder mit der OSG Performance Suite Free Version.

L├Âsung

W├Ąhlen Sie eine Sprache, die diesem Fehler nicht unterliegt.

Stellen Sie sicher, dass allen Formatzeichenfolgen-Funktionen eine statische Zeichenfolge ├╝bergeben wird, die vom Benutzer nicht gesteuert werden kann, und dass immer die richtige Anzahl von Argumenten an diese Funktion gesendet wird. Verwenden Sie m├Âglichst Funktionen, die den %n-Operator in Formatzeichenfolgen nicht unterst├╝tzen.

Beachten Sie die Warnungen der Compiler und Linker, da diese Sie auf unsachgem├Ą├če Verwendung aufmerksam machen k├Ânnen.

Andere Informationen

Es ist zu beachten, dass unter bestimmten Umst├Ąnden, z.B. bei der Internationalisierung, der Satz von Formatzeichenfolgen extern durch das Design gesteuert wird. Wenn die Quelle dieser Formatzeichenfolgen vertrauensw├╝rdig ist (z.B. nur in Bibliotheksdateien enthalten ist, die nur vom Systemadministrator ge├Ąndert werden k├Ânnen), kann die externe Steuerung selbst keine Sicherheitsanf├Ąlligkeit darstellen.

Allgemeiner Schwachstellen-Datenbanklink

https://cwe.mitre.org/data/definitions/134.html


Sie haben noch Fragen?

Kontaktieren Sie uns

Kostenloser SEO-Check der OSG


Weitere Inhalte