CWE一覧に戻る
CWE-579

J2EEバッドプラクティス:セッションに格納されたシリアライズ不可能なオブジェクト

J2EE Bad Practices: Non-serializable Object Stored in Session
脆弱性 レビュー中
JA

この製品は、シリアライズ不可能なオブジェクトをHttpSession属性として保存するため、信頼性が損なわれる可能性があります。

J2EEアプリケーションは、アプリケーションの信頼性とパフォーマンスを向上させるために、複数のJVMを利用することができます。複数のJVMがエンドユーザーには単一のアプリケーションに見えるようにするために、J2EEコンテナは複数のJVM間でHttpSessionオブジェクトを複製することができます。これは、すべてのセッションデータがシリアライズ可能で、JVM間でセッションを複製できる場合にのみ可能です。

EN

The product stores a non-serializable object as an HttpSession attribute, which can hurt reliability.

A J2EE application can make use of multiple JVMs in order to improve application reliability and performance. In order to make the multiple JVMs appear as a single application to the end user, the J2EE container can replicate an HttpSession object across multiple JVMs so that if one JVM becomes unavailable another can step in and take its place without disrupting the flow of the application. This is only possible if all session data is serializable, allowing the session to be duplicated between the JVMs.

Scope: Other / Impact: Quality Degradation
In order for session replication to work, the values the product stores as attributes in the session must implement the Serializable interface.
MITRE公式ページ — CWE-579