CA3012: Review code for regex injection vulnerabilities (Überprüfen von Code auf Sicherheitsrisiken durch Einschleusungen von RegEx)

Ursache

Potenziell nicht vertrauenswürdige HTTP-Anforderungseingaben erreichen einen regulären Ausdruck.

Standardmäßig analysiert diese Regel die gesamte Codebasis, aber dieses Verhalten ist konfigurierbar.

Regelbeschreibung

Beachten Sie beim Arbeiten mit nicht vertrauenswürdigen Eingaben, dass Angriffe durch RegEx-Einschleusung berücksichtigt werden. Ein Angreifer kann RegEx-Einschleusung verwenden, um einen regulären Ausdruck böswillig zu ändern, um das RegEx-Element mit unbeabsichtigten Ergebnissen übereinstimmen zu lassen oder um das RegEx-Element übermäßig viel CPU verbrauchen zu lassen, was zu einem Denial-of-Service-Angriff führt.

Diese Regel versucht, Eingaben aus HTTP-Anforderungen zu ermitteln, die einen regulären Ausdruck erreichen.

Behandeln von Verstößen

Zur Risikominderung bei RegEx-Einschleusungen gehören die folgenden Maßnahmen:

• Verwenden Sie bei Verwendung regulärer Ausdrücke immer ein Übereinstimmungstimeout.
• Vermeiden Sie die Verwendung regulärer Ausdrücke auf Grundlage von Benutzereingaben.
• Verwenden Sie Escapezeichen für Sonderzeichen aus Benutzereingaben durch Aufrufen von System.Text.RegularExpressions.Regex.Escape oder einer anderen Methode.
• Lassen Sie nur Zeichen aus Benutzereingaben zu, die keine Sonderzeichen sind.

Wann sollten Warnungen unterdrückt werden?

Wenn Sie wissen, dass Sie ein Übereinstimmungstimeout verwenden und die Benutzereingabe keine Sonderzeichen enthält, ist es in Ordnung, diese Warnung zu unterdrücken.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA3012
// The code that's violating the rule is on this line.
#pragma warning restore CA3012

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der Konfigurationsdatei auf none fest.

[*.{cs,vb}]
dotnet_diagnostic.CA3012.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Konfigurieren des zu analysierenden Codes

Mithilfe der folgenden Optionen können Sie konfigurieren, für welche Teile Ihrer Codebasis diese Regel ausgeführt werden soll.

• Ausschließen bestimmter Symbole
• Ausschließen bestimmter Typen und von diesen abgeleiteten Typen

Sie können diese Optionen nur für diese Regel, für alle zutreffenden Regeln oder für alle zutreffenden Regeln in dieser Kategorie (Sicherheit) konfigurieren. Weitere Informationen finden Sie unter Konfigurationsoptionen für die Codequalitätsregel.

Ausschließen bestimmter Symbole

Sie können bestimmte Symbole, z. B. Typen und Methoden, von der Analyse ausschließen. Sie können beispielsweise festlegen, dass die Regel nicht für Code innerhalb von Typen namens MyType ausgeführt werden soll, indem Sie einer EDITORCONFIG-Datei in Ihrem Projekt das folgende Schlüssel-Wert-Paar hinzufügen:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Zulässige Formate für Symbolnamen im Optionswert (durch | getrennt):

• Nur Symbolname (schließt alle Symbole mit dem Namen ein, unabhängig vom enthaltenden Typ oder Namespace)
• Vollqualifizierte Namen im Format der Dokumentations-ID des Symbols Jeder Symbolname erfordert ein Symbolartpräfix, z. B. M: für Methoden, T: für Typen und N: für Namespaces.
• .ctor für Konstruktoren und .cctor für statische Konstruktoren

Beispiele:

Ausschließen bestimmter Typen und von diesen abgeleiteten Typen

Sie können bestimmte Typen und von diesen abgeleitete Typen aus der Analyse ausschließen. Wenn Sie z. B. festlegen möchten, dass die Regel nicht für Methoden innerhalb von MyType-Typen und von diesen abgeleiteten Typen ausgeführt werden soll, fügen Sie einer EDITORCONFIG-Datei in Ihrem Projekt das folgende Schlüssel-Wert-Paar hinzu:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Zulässige Formate für Symbolnamen im Optionswert (durch | getrennt):

• Nur Typname (schließt alle Typen mit dem Namen ein, unabhängig vom enthaltenden Typ oder Namespace)
• Vollqualifizierte Namen im Dokumentations-ID-Format des Symbols mit einem optionalen Präfix T:

Beispiele:

Pseudocodebeispiele

Verletzung

using System;
using System.Text.RegularExpressions;

public partial class WebForm : System.Web.UI.Page
{
    public string SearchableText { get; set; }

    protected void Page_Load(object sender, EventArgs e)
    {
        string findTerm = Request.Form["findTerm"];
        Match m = Regex.Match(SearchableText, "^term=" + findTerm);
    }
}

Imports System
Imports System.Text.RegularExpressions

Public Partial Class WebForm
    Inherits System.Web.UI.Page

    Public Property SearchableText As String

    Protected Sub Page_Load(sender As Object, e As EventArgs)
        Dim findTerm As String = Request.Form("findTerm")
        Dim m As Match = Regex.Match(SearchableText, "^term=" + findTerm)
    End Sub
End Class