PSAvoidUsingConvertToSecureStringWithPlainText makes unreasonable claims at high severity

Offen
#2,187 2 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
35/100
Issue-Typ
Bug
Klarheit
Muss geklärt werden
Aktivitätsstatus
Ruhig
Tech-Stack
csharp, powershell
Bereich
security, tooling

Rechercherichtung

Beginnen Sie damit, den Einstiegspunkt der Regel PSAvoidUsingConvertToSecureStringWithPlainText zu finden und zu überprüfen, wie ihre Meldung und ihr Schweregrad definiert sind. Vergleichen Sie diese Aussagen mit den im Issue beschriebenen Szenarien für Anmeldeinformationen und Token; abgeschlossen ist die Aufgabe, wenn der Schweregrad und die Anleitung der Regel keine unbelegten sicherheitsbezogenen Aussagen für das gesamte Repository mehr enthalten.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Internal MS situation:

PSAvoidUsingConvertToSecureStringWithPlainText is now generating SFI/s360 work based on unsupported claims with neither Guardian nor TSA teams able to offer repo-wide suppression options.

This will expose secure information. Encrypted standard strings should be used instead.

Will it? Why is it an error?
I challenge you to create Credential instance from a token or another credential following this guidance.

There are workarounds of course and line-by-line suppressions, but they don't scale or make security story any stronger and we can't provide our own rules/settings for the linter.

Vorherrschende Sprache
C#
Sterne
2.2k
Forks
415
Ø Merge
13 Std. 1 Min.
Gemergte PRs (30 T.)
2

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus PowerShell/PSScriptAnalyzer

Alle Issues in PowerShell/PSScriptAnalyzer

Ähnliche Issues

Weitere Issues zu C#

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.