java - Checkmarx、LDAP 注入(inject)和 ESAPI.encodeForLDAP

Question

Checkmarx 正确地将本声明标记为 LDAP_Injection。

String filter = "(&(objectclass=accessGroup)(member=cn=*)(dsApplicationName=" + application + "))";

使用 ESAPI 编码器，我希望这可以解决问题:

String saneApplication = org.owasp.esapi.reference.DefaultEncoder.getInstance().encodeForLDAP(application);
String filter = "(&(objectclass=accessGroup)(member=cn=*)(dsApplicationName=" + saneApplication + "))";

但 Checkmarx 仍将其标记为 LDAP_Injection。

不知道如何正确解决这个问题。

谢谢托马斯

Answer 1

您可以使用 CxAudit 覆盖在查询中用作清理程序的函数。
例如。有 Find_LDAP_Sanitize() 的项目/公司覆盖，并包括(除了原始的)ESAPI 函数 - 选择方法调用，并将它们添加到原始列表中。

附注已经要求将其添加到默认值中，但我不知道什么时候会:-)

P.P.S。 OWASP ESAPI 几乎已被 OWASP Encoder 项目取代，但它并不真正支持 LDAP 编码。
从长远来看，您可能需要重组代码以避免任何类型的串联。