java - JMS中不可信数据反序列化安全问题

Question

我正在我的 Java EE 应用程序中使用 bean 发送邮件。我的发送邮件类是通过xDoclet生成的。类代码如下

public void onMessage(javax.jms.Message message)   {
           MapMessage mapMsg = (MapMessage) message;
           String toEmailAddress = mapMsg.getString("toAddress");
           String ccEmailAddress = mapMsg.getString("ccAddress");
           String from = mapMsg.getString("from");
           String subject = mapMsg.getString("subject");
           String content = mapMsg.getString("body");
   }

现在，我在 checkmarx 中遇到了此类的一些安全问题，如 - JMS 行中不受信任数据的反序列化

String toEmailAddress = mapMsg.getString("toAddress");
String ccEmailAddress = mapMsg.getString("ccAddress");

Answer 1

基于 JMS 中不受信任数据反序列化的 Checkmarx 查询，在转换时添加 try catch block 并检查消息是否不是 ObjectMessage 的实例:

public void onMessage(javax.jms.Message message)   {    
 try {    
    if !(message instanceOf ObjectMessage){
               MapMessage mapMsg = (MapMessage) message;
               String toEmailAddress = mapMsg.getString("toAddress");
               String ccEmailAddress = mapMsg.getString("ccAddress");
               String from = mapMsg.getString("from");
               String subject = mapMsg.getString("subject");
               String content = mapMsg.getString("body");
    }
 }
 catch {}
 finally {}
}