У меня есть несколько API, которые выполняют операции с базой данных. Всякий раз, когда я загружаю свой код в checkmarx, я получаю следующую ошибку, которая помечается как ошибка высокой уязвимости. Кто-нибудь может мне помочь?
Ошибка
Метод CreateDatabaseAndMapToDomain приложения выполняет запрос SQL с executeQuery в строке 717 daas-springboot-CheckMarxIntegration \ src \ main \ java \ com \ it \ daas \ apis \ сервис \ PostgresConnectionServiceImpl. java. Приложение создает этот запрос SQL путем встраивания в запрос ненадежной строки без надлежащей очистки. Объединенная строка отправляется в базу данных, где она анализируется и выполняется соответствующим образом.
Злоумышленник может записывать произвольные данные в базу данных, которые затем извлекаются приложением с помощью executeQuery в методе getDomains в строке 678 из daas-springboot-CheckMarxIntegration \ src \ main \ java \ com \ it \ daas \ apis \ service \ PostgresConnectionServiceImpl. java. Затем эти данные проходят через код до тех пор, пока они не будут использоваться непосредственно в запросе SQL без очистки, а затем отправлены на сервер базы данных для выполнения
Вот мои функции
@Override
public String getDomains() throws SQLException {
String domainquery = "SELECT id,domain FROM domain";
Connection con = null;
PreparedStatement st = null;
ResultSet result = null;
try
{
con = ConnectToPostgresapibuilderDatabase(apibuilderConnectionString, apibuilderUserName,apibuilderPassword);
con.setSchema(this.schema);
st = con.prepareStatement(domainquery);
result = st.executeQuery();
ArrayList<DatabaseDomainBean> list = new ArrayList<DatabaseDomainBean>();
while (result.next()) {
list.add(new DatabaseDomainBean(result.getString("domain"), result.getString("id")));
}
return new JSONObject().put("domainlist", list).toString();
}
catch(Exception e)
{
e.printStackTrace();
return null;
}
finally{
result.close();
st.close();
con.close();
}
}
@Override
public String CreateDatabaseAndMapToDomain(String database, String[] domainIds, String password)
throws SQLException {
if (!this.apibuilderPassword.equals(password)) {
return null;
}
else if(database==null || domainIds==null || password ==null)
{
return "Failure";
}
Connection con =null;
PreparedStatement st =null;
ResultSet ispresent =null;
PreparedStatement mapquerystmnt =null;
ResultSet resultMapping = null;
try
{
con = ConnectToPostgresapibuilderDatabase(apibuilderConnectionString, apibuilderUserName,apibuilderPassword);
con.setSchema(this.schema);
for (int i = 0; i < domainIds.length; i++) {
con.setSchema(this.schema);
String IfExists = MessageFormat.format(
"SELECT databasename,domainid FROM Databases WHERE databasename IN (?) AND domainid IN (?)",
Utilitymethods.ConvertToMessageFormatCompatibleForm(database),
Utilitymethods.ConvertToMessageFormatCompatibleForm(domainIds[i]));
st = con.prepareStatement(IfExists);
st.setString(1, database);
st.setInt(2, Integer.parseInt(domainIds[i]));
ispresent = st.executeQuery();
if (!ispresent.next()) {
// INSERT INTO Databases (databasename,domainid) VALUES ('Teradata','1')
String mapquery = MessageFormat.format(
"INSERT INTO Databases (databasename,domainid) VALUES (?,?) returning Id",
Utilitymethods.ConvertToMessageFormatCompatibleForm(database),
Utilitymethods.ConvertToMessageFormatCompatibleForm(domainIds[i]));
mapquerystmnt = con.prepareStatement(mapquery);
mapquerystmnt.setString(1, database);
mapquerystmnt.setInt(2, Integer.parseInt(domainIds[i]));
resultMapping = mapquerystmnt.executeQuery();
}
}
return "Success";
}
catch(Exception e)
{
e.printStackTrace();
return "Failure";
}
finally
{
ispresent.close();
st.close();
resultMapping.close();
mapquerystmnt.close();
con.close();
}
}
@Override
public String getDomains() throws SQLException {
String domainquery = "SELECT id,domain FROM domain";
Connection con = null;
PreparedStatement st = null;
ResultSet result = null;
try
{
con = ConnectToPostgresapibuilderDatabase(apibuilderConnectionString, apibuilderUserName,apibuilderPassword);
con.setSchema(this.schema);
st = con.prepareStatement(domainquery);
result = st.executeQuery();
ArrayList<DatabaseDomainBean> list = new ArrayList<DatabaseDomainBean>();
while (result.next()) {
list.add(new DatabaseDomainBean(result.getString("domain"), result.getString("id")));
}
return new JSONObject().put("domainlist", list).toString();
}
catch(Exception e)
{
e.printStackTrace();
return null;
}
finally{
result.close();
st.close();
con.close();
}
}