在 ZipOutputStream.write() 方法中强化隐私违规

Posted 2023-03-06

【中文标题】在 ZipOutputStream.write() 方法中强化隐私违规

【英文标题】：Fortify Privacy Violation in ZipOutputStream.write() method

【发布时间】：2020-07-28 15:05:19

【问题描述】：

在 Fortify 代码扫描中，我们在下面的 Java 代码中存在隐私侵犯，它将 byte[] 转换为 ZipOutputStream，然后再转换为另一个 byte[]。确切的汇线是 zos.write(arr);

private byte[] zipFile(String filename, byte[] arr) throws UnableToZipException, IOException 
    try (ByteArrayOutputStream baos = new ByteArrayOutputStream();
            ZipOutputStream zos = new ZipOutputStream(baos)) 
        ZipEntry entry = new ZipEntry(filename);
        entry.setSize(arr.length);
        zos.putNextEntry(entry);
        zos.write(arr);
        zos.closeEntry();
        zos.close();
        return baos.toByteArray();
     catch (Exception e) 
        e.printStackTrace();
    

这是有效违规还是误报？我没有将ZipOutputStream 写入本地目录。如果是有效的隐私侵犯，如何解决？

【参考方案1】：

您不应该孤立地查看此代码。 Fortify 扫描还将提供有关数据从何处进入此方法的详细信息。您需要弄清楚 arr 参数传递给此方法的值是什么。如果传递的值是私人信息，那么它将显示为侵犯隐私。

【讨论】：

该阵列与加密阵列交战。所以这个问题原来是误报！