java.unsafe-reflection

Kann ein Angreifer Werte liefern, anhand derer die Anwendung bestimmt, welche Klasse instanziiert oder welche Methode aufgerufen wird, schafft er sich Kontrollflusspfade durch die Anwendung, die die Entwickler nicht vorgesehen haben. Über diesen Angriffsvektor kann der Angreifer Authentifizierungs- oder Zugriffsprüfungen umgehen oder die Anwendung anderweitig unerwartet reagieren lassen.

If an attacker can supply values that the application then uses to determine which class to instantiate or which method to invoke, the potential exists for the attacker to create control flow paths through the application that were not intended by the application developers. This attack vector may allow the attacker to bypass authentication or access control checks or otherwise cause the application to behave in an unexpected manner.

Si un attaquant peut fournir les valeurs qui déterminent la classe à instancier ou la méthode à invoquer, il peut créer des chemins de contrôle non prévus par les développeurs. Ce vecteur d'attaque peut lui permettre de contourner l'authentification ou les contrôles d'accès, ou de faire se comporter l'application de manière inattendue.

攻撃者が、どのクラスをインスタンス化し、どのメソッドを呼び出すかを決める値を提供できる場合、開発者の想定していない制御フローの経路が構築され、認証やアクセス制御のチェックを回避されたり、アプリケーションが異常な動作を示したりするおそれがあります。

공격자가 어떤 클래스를 인스턴스화하고 어떤 메서드를 호출할지 결정하는 값을 제공할 수 있다면, 개발자가 예상하지 못한 제어 흐름 경로를 만들어 인증 또는 접근 제어 검사를 우회하거나 애플리케이션에 비정상 동작을 일으킬 수 있습니다.

Если атакующий может подать значения, определяющие, какой класс инстанцировать или какой метод вызывать, он способен проложить через приложение пути управления, не предусмотренные разработчиками: обойти аутентификацию или проверки контроля доступа либо добиться иного непредвиденного поведения приложения.

若攻击者能提供决定实例化哪个类、调用哪个方法的值，就能构造出开发者未预期的控制流路径，可能绕过认证或访问控制检查，或使应用出现异常行为。

若攻擊者能提供決定具現化哪個類別、呼叫哪個方法的值，就能建構出開發者未預期的控制流路徑，可能繞過認證或存取控制檢查，或使應用出現異常行為。