ガイドラインの観点別マッピング
================================================================================
ガイドラインの4章以降は機能別に説明されているが、機能面とは別の観点で、どの節にどの内容が含まれているかのマッピングを示す。
セキュリティ対策に関するマッピング
--------------------------------------------------------------------------------
OWASP(Open Web Application Security Project)による観点
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
\ `OWASP Top 10 for 2021 <https://owasp.org/www-project-top-ten/>`_\ を軸として、
セキュリティに関連するガイドライン内の説明へのリンクを記載する。
.. tabularcolumns:: |p{0.10\linewidth}|p{0.40\linewidth}|p{0.50\linewidth}|
.. list-table::
:header-rows: 1
:widths: 10 40 50
:class: longtable
* - 項番
- 項目名
- ガイドライン内の関連箇所
* - A1:2021
- `Broken Access Control <https://owasp.org/Top10/A01_2021-Broken_Access_Control/>`_
- * \ :ref:`file-upload_security_related_warning_points_directory_traversal`\
* - A2:2021
- `Cryptographic Failures <https://owasp.org/Top10/A02_2021-Cryptographic_Failures/>`_
- * \ :ref:`PropertyManagementDecryptAndUseTheEncryptedPropertyValue`\
* \ :doc:`../Security/Encryption`\
* \ :ref:`SpringSecurityAuthenticationPasswordHashing`\
* - A3:2021
- `Injection <https://owasp.org/Top10/A03_2021-Injection/>`_ SQL Injection
- * \ :ref:`DataAccessMyBatis3HowToUseSqlInjectionCountermeasure`\
* - A3:2021
- `Injection <https://owasp.org/Top10/A03_2021-Injection/>`_ OS Command Injection
- * \ :ref:`Validation_os_command_injection`\
* - A3:2021
- `Injection <https://owasp.org/Top10/A03_2021-Injection/>`_ Email Header Injection
- * \ :ref:`email-header-injection`\
* - A3:2021
- `Injection <https://owasp.org/Top10/A03_2021-Injection/>`_
- * \ :ref:`secure-input-validation`\
* - A3:2021
- `Injection <https://owasp.org/Top10/A03_2021-Injection/>`_ Cross-Site Scripting (XSS)
- * \ :doc:`../Security/XSS`\
* \ :ref:`LinkageWithBrowserXXSSProtection`\
* - A4:2021
- `Insecure Design <https://owasp.org/Top10/A04_2021-Insecure_Design/>`_
- * 特に言及なし
* - A5:2021
- `Security Misconfiguration <https://owasp.org/Top10/A05_2021-Security_Misconfiguration/>`_
- * \ :ref:`exception-handling-how-to-use-codingpoint-view-exceptioncode-label`\
* \ :ref:`XXE(XML External Entity) 対策について<AjaxWarningXXEProtection>`\
* \ :ref:`RESTAppendixEnabledXXEProtection`\
* \ :ref:`LoggingLogOutputContents`\
* \ :ref:`SpringSecurityAuthorizationOnError`\
* - A6:2021
- `Vulnerable and Outdated Components <https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components/>`_
- * 特に言及なし
* - A7:2021
- `Identification and Authentication Failures <https://owasp.org/Top10/A07_2021-Identification_and_Authentication_Failures/>`_
- * \ :ref:`SessionManagementSessionHijackingAttacksProtection`\
* \ :ref:`SessionManagementSessionFixationAttacksProtection`\
* \ :ref:`SpringSecurityAuthenticationPasswordHashing`\
* - A8:2021
- `Software and Data Integrity Failures <https://owasp.org/Top10/A08_2021-Software_and_Data_Integrity_Failures/>`_
- * 特に言及なし
* - A9:2021
- `Security Logging and Monitoring Failures <https://owasp.org/Top10/A09_2021-Security_Logging_and_Monitoring_Failures/>`_
- * \ :ref:`SpringSecurityAuthenticationEventListener`\
* \ :ref:`audit-logging`\
* - A10:2021
- `Server-Side Request Forgery <https://owasp.org/Top10/A10_2021-Server-Side_Request_Forgery_%28SSRF%29/>`_
- * 特に言及なし
CVE(Common Vulnerabilities and Exposures)による観点
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
ガイドラインで言及しているCVEごとにその説明とガイドラインへのリンクを記載する。
ガイドラインで言及していないCVEについては、\ `Pivotal Product Vulnerability Reports <https://tanzu.vmware.com/security>`_\を参照されたい。
.. tabularcolumns:: |p{0.10\linewidth}|p{0.40\linewidth}|p{0.50\linewidth}|
.. list-table::
:header-rows: 1
:widths: 10 40 50
* - CVE
- 概要
- ガイドラインでの言及箇所
* - \ `CVE-2014-0050 <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0050>`_\
\ `CVE-2016-3092 <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3092>`_\
- Apache Commons FileUploadを使用するとファイルをアップロードする処理で細工されたリクエストによるDoS攻撃を受ける可能性がある
- * :ref:`FileUploadOverview`
* :ref:`file-upload_usage_commons_fileupload`
* - \ `CVE-2014-1904 <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1904>`_\
- \ ``<form:form>``\タグの \ ``action``\属性を省略するとXSS攻撃を受ける可能性がある
- * :ref:`ApplicationLayerImplementOfJsp`
* - \ `CVE-2015-3192 <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3192>`_\
- DTDを使用したDoS攻撃が可能となる
- * :ref:`ajax_how_to_use`
* :ref:`RESTHowToUseApplicationSettings`
* - \ `CVE-2016-5007 <https://tanzu.vmware.com/jp/security/cve-2016-5007>`_\
- Spring SecurityとSpring MVCのパス比較方法の差異を利用して認可のすり抜けが可能となる
- * :ref:`access_policy_designate_web_resource`
* - \ `CVE-2019-3778 <https://tanzu.vmware.com/security/cve-2019-3778>`_\
- 認可コードグラントを利用した認可サーバにおけるオープンリダイレクト脆弱性
- * :ref:`OAuthSetup`
* - \ `CVE-2019-12415 <https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12415>`_\
- Apache POI 4.1.0以前を利用したEXCELファイルからXMLへの変換において、細工されたEXCELファイルによるXXE攻撃を受ける可能性がある
- * :ref:`ImplementsOfTestByLayerTestingRepositoryWithSpringTestDBUnit`
* - \ `CVE-2020-5408 <https://tanzu.vmware.com/security/cve-2020-5408>`_\
- 暗号化の結果が毎回同一となることを利用した辞書攻撃により、暗号化前の平文を取得されてしまう可能性がある
- * :ref:`EncryptionEncryptText`
.. raw:: latex
\newpage