부적절한 예외 처리- KISA 소프트웨어 개발 보안 가이드

https://www.kisa.or.kr/public/laws/laws3.jsp

기술안내서 가이드 < 관련법령·기술안내서 < 자료실 : 한국인터넷진흥원

---

구현 단계 시큐어코딩 가이드 - 에러처리 - 부적절한 예외 처리

가. 개요

• 프로그램 수행 중에 함수의 결과값에 대한 적절한 처리 또는 예외 상황에 대한 조건을 적절하게 검사하지 않을 경우, 예기치 않은 문제를 야기할 수 있다.

나. 보안대책

• 값을 반환하는 모든 함수의 결과값을 검사하여, 그 값이 의도했던 값인지 검사하고, 예외 처리를 사용하는 경우에 광범위한 예외 처리 대신 구체적인 예외 처리를 수행한다.

다. 코드예제

JAVA

다음 예제는 try 블록에서 다양한 예외가 발생할 수 있음에도 불구하고 예외를 세분화하지 않고 광범 위한 예외 클래스인 Exception을 사용하여 예외를 처리하고 있다.

발생 가능한 예외를 세분화하고 발생 가능한 순서에 따라 예외를 처리하고 있다.

 

C#

다음 예제는 try 블록에서 다양한 예외가 발생할 수 있음에도 불구하고 예외를 세분화하지 않고 광범 위한 예외 클래스인 Exception을 사용하여 예외를 처리하고 있다.

발생 가능한 예외를 세분화하고 발생 가능한 순서에 따라 예외를 처리하고 있다.

---

참고자료

• CWE-754 Improper Check for Unusual or Exceptional Conditions, MITRE
  http://cwe.mitre.org/data/definitions/754.html
• Do not complete abruptly from a finally block, CERT,
  http://www.securecoding.cert.org/confluence/display/java/ERR04-J.+Do+not+ complete+abruptly+from+a+finally+block 
• Exception Handling in Spring MVC, Spring,
  http://spring.io/blog/2013/11/01/exception-handling-in-spring-mvc