問題を誤検知としてマークする
問題を誤検知としてマークする際は、実際の脆弱性ではない理由を具体的に説明してください。たとえば、到達不能なコードである、入力がサニタイズされている、テスト専用のコードである、といった理由が挙げられます。「誤検知」というラベルや「N/A」のような形式的な記入だけでは不十分です。これは、個別の問題、一括での判断、プルリクエストのコメントによる依頼に適用されます。説明が受け付けられなかった場合は、不足している背景情報を追加して再試行してください。Corgeaが検出できる誤検知の一般的な例
以下は、Corgeaが検出できる誤検知の例です。- クロスサイトスクリプティング:ユーザー入力がWebページに反映される前に、標準的なライブラリやフレームワークで適切にサニタイズまたはエンコードされているかを確認します。
- SQLインジェクション:データベースクエリで、操作可能なユーザー入力や外部入力を直接使用せず、適切にサニタイズされたパラメーター化クエリまたはプリペアドステートメントを使用しているかを確認します。
- 情報露出:開示された機密情報が一般的な情報であるか、または開発環境でのみ開示されるものかを確認します。
- 未捕捉例外:アプリケーションの重要でない部分で、予期しない条件や状態がログ記録や監視などの別の手段によって処理されているかを確認します。
- ハードコードされたパスワード:ハードコードされたパスワードが非本番環境または自動テストでのみ使用されているかを確認します。
- 設定ファイル内のパスワード:暗号化された保存やアクセス制御などの代替的なセキュリティ対策によって、プレーンテキストパスワードの保存が保護されているかを確認します。
- ハードコードされた暗号鍵:ハードコードされた暗号鍵がテスト目的でのみ使用されているかを確認します。
- クロスサイトリクエストフォージェリ:CSRF対策トークンがサーバー側で実装および検証されているか、またはCSRF対策が適用されないAPIのコードであるかを確認します。
- 整合性チェックのサポート不足:デジタル署名やハッシュ検証など、別の手段で整合性チェックが実装されているかを確認します。
- ハードコードされた認証情報:ハードコードされた認証情報がテスト目的でのみ使用されているかを確認します。
- コードインジェクション:コードインジェクションが発生し得る箇所が制御された環境に限定されているか、または入力検証と出力エンコードが適用されているかを確認します。