 描述
捕捉过于广泛的异常促进复杂的错误处理代码,更有可能包含安全漏洞。
扩展描述
多个catch块可以丑陋和重复,但“冷凝”catch块通过捕捉等高级类异常可以模糊异常应该得到特殊待遇,或者不应该被此时的程序。抓住本质上过于广泛的异常失败的目的Java的类型的异常,并能成为特别危险如果程序并开始抛出的新类型的异常生长。新的异常类型不会收到任何关注。
的关系
模式的介绍
 不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
示范例子
示例1
下面的代码片段以同样方式处理三种类型的异常。
尝试{
doExchange (); } 抓住(IOException e) {
记录器。错误(“doExchange失败”,e); } 抓住(InvocationTargetException e) {
记录器。错误(“doExchange失败”,e);
} 抓住(SQLException e) {
记录器。错误(“doExchange失败”,e);
}
乍一看,似乎比在一个catch块来处理这些异常,如下:
尝试{
doExchange (); } 捕获(异常e) {
记录器。错误(“doExchange失败”,e); }
然而,如果doExchange修改()抛出一个新类型的异常,应该以某种不同的方式处理,宽阔的catch块将防止编译器指出。此外,新catch块现在还将处理异常来源于RuntimeException ClassCastException等NullPointerException,不是程序员的意图。
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| 7有害的王国 |
|
|
过于宽泛的Catch块 |
| 软件故障模式 |
SFP5 |
|
模棱两可的异常类型 |
| OMG ASCSM |
ASCSM -cwe - 396 |
|
|
| OMG ASCRM |
ASCRM -cwe - 396 |
|
|
引用
|
|
|
迈克尔•霍华德(REF-44)大卫·勒布朗和Viega约翰。软件安全的“24宗罪”。“罪9:捕获异常。”Page 157. McGraw-Hill. 2010. |
|
|
|
|
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
