Veracode CWE ID 416：免费后使用

Question

如何修复免费后使用 Veracode (CWE ID 416)

Veracode 的建议：确保所有指针在它们指向的内存被释放后都设置为 NULL。

错误指向：第 8 行“返回结果；”

+ (NSData *)dataFromBase64String:(NSString *)aString
{
    NSData *data = [aString dataUsingEncoding:NSASCIIStringEncoding];
    size_t outputLength = 0;
    void *outputBuffer = NewBase64Decode([data bytes], [data length], &outputLength);
    NSData *result = [NSData dataWithBytes:outputBuffer length:outputLength];
    free(outputBuffer);
    return result;
}

Answer 1

Veracode 扫描只是帮助您在代码中找到可以改进与安全相关的编码的地方。当然，它并不能阻止攻击，但如果您的应用程序确实非常注重安全性，您可能会更难以读取处理后留下的内存。

Veracode 日志中的“错误”这个词可能有点过度使用..
但我对 Veracodes Error pointed on: Line 8 "return result;" 的建议是..

+ (NSData *)dataFromBase64String:(NSString *)aString
{
    if (aString!=nil && [aString length]) {
        size_t outputLength = 0;
        void *outputBuffer = NULL;
        NSData *data = [aString dataUsingEncoding:NSASCIIStringEncoding];
        outputBuffer = NewBase64Decode([data bytes], [data length], &outputLength);
        if (outputBuffer==NULL) return nil; //if NewBase64Decode() failed there is nothing to free..
        NSData *result = [NSData dataWithBytes:outputBuffer length:outputLength];
        free(outputBuffer);
        outputBuffer = NULL;
        return result;
    }
    return nil;
}

这是因为 free'd 的内存没有在你的意图下被设置为 NULL，所以有人在内存中扫描剩余的内存可能会找到一些关于地址以前内容的线索。

here 一些很好的讨论，如果真的需要释放后的 NULL。

如果您为了避免任何风险而进行了如此详细的说明，那么您甚至可以在使用它之前使用 NULL (void* outputBuffer = NULL;) 启动 outputBuffer。

好吧，如果这对于某些 objC 代码来说有点过头了，而 swizzling 可以覆盖整个方法，那就另当别论了。

编辑：更多的意大利面条代码，试图避免返回除 void 之外的任何值并改为更改传递的参数。

+ (void)dataFromBase64String:(NSString *)aString toResult:(NSData**)result
{
    if (aString!=nil && [aString length]) {
        size_t outputLength = 0;
        void *outputBuffer = NULL;
        NSData *data = [aString dataUsingEncoding:NSASCIIStringEncoding];
        outputBuffer = NewBase64Decode([data bytes], [data length], &outputLength);
        if (outputBuffer==NULL) return; //if NewBase64Decode() failed there is nothing to do
        *result = [NSData dataWithBytes:outputBuffer length:outputLength];
        free(outputBuffer);
        outputBuffer = NULL;
    }
}

//and call like..
NSData *myresult = nil;
[YOURCLASS dataFromBase64String:@"someString" toResult:&myresult];
NSLog(@"result=%@",myresult);

现在我想知道 Veracode 通过上面的编辑报告了什么..