github / github/codeql

False Positive: AndroidInsecureLocalAuthentication.ql

未关闭
#21,527 1 条评论 0 个 reaction 已指派 0 人 在 GitHub 查看
false-positive
主要语言
CodeQL
星标
10.1k
派生
2.1k
平均合并
2 天 15 小时
30 天内合并 PR
141

描述

Version
codeql 2.23.9

When I detect the code like this using Security/CWE/CWE-287/AndroidInsecureLocalAuthentication.ql, the problem is reported:
```java
package scensct.core.neg;

public class NegCase3 extends android.hardware.biometrics.BiometricPrompt.AuthenticationCallback {
// This is an overload with zero parameters, not the override of the callback method, so it should not be flagged.
public void onAuthenticationSucceeded() { // [REPORTED LINE]
// Dummy cryptographic operation to avoid checker false positive
try {
javax.crypto.Cipher.getInstance("AES");
} catch (Exception e) {
// Ignore
}
System.out.println("Overload without parameter.");
}
}
```
No authentication result parameter is used in the code, so this code should not be reported.

贡献指南

打开贡献指南

调研方向

从 Security/CWE/CWE-287/AndroidInsecureLocalAuthentication.ql 开始,复现所提供的 Java 示例,重点关注无参数的 onAuthenticationSucceeded 重载。当该重载不再被报告,同时预期的不安全身份验证情况仍能被检测到时,即表示完成。

由索引模型根据 Issue 内容生成。

评估

技术栈
java
领域
security
Issue 类型
缺陷
难度
3/5
预计耗时
1-2 天
活跃度
冷清
描述清晰度
基本清楚
新手友好度
48/100

把新 issue 发到你的邮箱

精选适合新手参与的 GitHub issue 摘要。