6

Tenho estado meio encucado com questões de segurança e vulnerabilidades ultimamente, e, em minhas pesquisas, cheguei em um artigo que me intrigou.

Segundo a OWASP:

Description It is generally a bad practice to catch NullPointerException.

Programmers typically catch NullPointerException under three circumstances:

1 - The program contains a null pointer dereference. Catching the resulting exception was easier than fixing the underlying problem.

2 - The program explicitly throws a NullPointerException to signal an error condition.

3 -The code is part of a test harness that supplies unexpected input to the classes under test. Of these three circumstances, only the last is acceptable.

Ou seja, segundo esse texto, a única situação aceitável para capturar NullPointerException é em casos de teste, aonde o input pode ser algo inesperado.

Por que não é uma boa ideia capturar NullPointerException?

Visto que não é uma boa ideia, como devo proceder caso essa exceção seja algo plausível dentro de um escopo?

Como NullPointerException pode ser uma ameaça para meu sistema?

6
  • Má prática com relação a alguma coisa em específico?
    – Jéf Bueno
    Commented 16/03/2017 às 12:50
  • 1
    Aparentemente, a OWASP considera a captura de NullPointerException uma má prática de segurança. Inclusive diz que é um erro capturar tal exceção Commented 16/03/2017 às 12:52
  • Relacionada: Boas práticas com tratamento de exceção Java
    – user28595
    Commented 16/03/2017 às 12:52
  • Devo colocar isso no título? Commented 16/03/2017 às 12:52
  • 1
    As duas primeiras perguntas estão respondidas na resposta do @bigown neste link.
    – user28595
    Commented 16/03/2017 às 12:53

2 Respostas 2

8

De uma maneira geral é sim. Isto normalmente ocorre por um erro de programação. Se há a expectativa de que uma informação possa ser nula, teste antes de acessá-la. Esta é a única prática aceitável em quase todas situações. Eu diria em todas dentro da normalidade, mas estou sendo precavido porque pode ter alguma situação útil. As exceções (desculpe) ficam por conta de testes ou resolver um problema de algo de terceiro que você use e lança a exceção equivocadamente. Pra mim isso nem é aceitável, se algo é tão ruim, ou conserte ou troque de fornecedor porque isso é grave.

Acha que é plausível? Tem que demonstrar porque é. Provavelmente é um erro de avaliação.

Se há esse problema de programação há alguma coisa que está errada no código, ou o programador não tem noção do que está fazendo. Isso por si só já é um perigo. Eu não vejo um problema de segurança direto, mas talvez classifiquem assim pelo efeito indireto. Por exemplo, se a aplicação quebra pode ser que ela tenha sido mal feita em outro ponto e deixe alguma coisa em aberto que crie a vulnerabilidade. O problema não é da NPE e sim dela permitir que outra falha aconteça.

Por outro lado uma exceção geral em algum ponto de saída da aplicação deve capturar todas exceções, mesmo as de programação para tratar a saída padrão, já que ela expõe dados internos da aplicação que podem ser usados para explorar alguma vulnerabilidade. Note que isso não é tratar a NPE e sim tratar o que não pode ser tratado, só "maquiado". Idealmente não deveriam ocorrer erros de programação em produção.

De qualquer forma, assim como boas práticas são ruins, más práticas também. Quem diz que algo é ruim deve dizer porque, caso contrário se você não consegue determinar por conta própria ou outra fonte, desconsidere a afirmação. Nesse caso até que descubra o porquê, não trate como um problema de segurança e sim de programação apenas.

if (objeto != null) {
    //faz o que tem que fazer
}

Coloquei no GitHub para referência futura.

Se pode, e deve fazer isso antes de ter a exceção, por que vai deixar acontecer para tratá-la? Não faz sentido.

Algumas perguntas úteis:

2
  • Então, além da questão de capturar exceções em geral, eu não devo assumir que capturar essa exceção vai gerar algum tipo de vulnerabilidade para meu sistema? Commented 16/03/2017 às 13:08
  • Depende da exceção, essa não provoca de forma direta.
    – Maniero
    Commented 16/03/2017 às 13:11
2

Existem dois tipos principais de exceção: checáveis e não checáveis. As checáveis (Exception) são aquelas que o Java te obriga a tratar porque o usuário deve ser capaz de se recuperar do problema. Já as não checáveis (Runtime) são aquelas que deixam o estado do sistema irrecuperável e por isso não precisam ser tratadas. O Nullpointer no Java é uma exceção não checável porque se fosse checável praticamente todo método teria que lançar essa exceção. Isso não significa que ela não precisa ser tratada, mas também não significa que você deve adicionar o tratamento sempre. O ideal é tratar exceções específicas e não tão genéricas, pois as específicas são previstas e por isso permitem que o usuário se recupere do erro. O que é uma ameaça para o sistema é exibir a stacktrace de uma exceção não prevista para o usuário. O que precisa ser feito é apenas logar a exceção para o servidor e exibir uma tela neutra para o usuário que não será capaz de se recuperar da exceção não prevista.

6
  • 3
    E como isso se aplica a regras de segurança? Commented 16/03/2017 às 13:01
  • As questões de segurança seriam expor informações de implementação numa stacktrace para os usuários ou deixar de logar uma exceção para o mesmo. Em um sistema web você poderia usar interceptors que logariam as exceções nos servidor e poderiam notificar responsáveis a respeito do erro. O importante mesmo é sempre identificar que tipo de exceção poderá permitir recuperação por parte do usuário, para que o sistema não fique em um estado inconsistente. A melhor maneira de fazer isso é criando exceções específicas para que o tratamento das mesmas seja adequado. Commented 16/03/2017 às 13:04
  • 2
    De forma uma stacktrace poderia representar um risco de segurança a aplicaçao?
    – user28595
    Commented 16/03/2017 às 13:08
  • 1
    @diegofm ela está correta nesse ponto, só não está bem no contexto, porque capturar uma NPE em tese evitaria expor a ST (a não ser que o programa capture e mande imprimi-la :) ). Na verdade é o oposto, não capturar a NPE de alguma forma pode expor a aplicação, mas não deve capturar especificamente ela, deve capturar exceções genéricas como último recurso de um código problemático, só para logar para vc saber que tem que arrumar isso e mostrar para o usuário algo bonitinho sem expor nada. Mas a capturar deve ser no ponto de entrada da aplicação, main() por exemplo.
    – Maniero
    Commented 16/03/2017 às 13:23
  • 1
    Quando eu falo capturar é nesse sentido de expor o conteúdo da exceção. O que não é recomendado é capturá-la de forma genérica mesmo, como NullPointerException. Commented 16/03/2017 às 13:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .