IBM AppDOS.ConnectionClose漏洞

Question

IBM Appscan源代码扫描程序在以下源代码中检测到AppDOS.ConnectionClose漏洞。

我通过关闭finally块中的连接修复了这个问题，但它仍然报告相同的问题。是否有关闭数据库连接的模式？

Connection nCnn = null;

try
{
    nCnn = getConnection();

    /* some database operation */


    nCnn.close() /* Reporting AppDOS.ConnectionClose vulnerability */ 


} catch (Exception e) {
    throw new SQLException("Connection close", e);
}
finally
{
    try {
        if (nCnn != null)

            nCnn.close(); /* Reporting AppDOS.ConnectionClose vulnerability */ 

    } 
    catch (Exception e) {
        logger.error(e);
    }

}

Answer 1

您的修复应该可以缓解这个问题。Appscan Source在修复后仍然报告该问题，这一事实很可能是一个缺陷。Appscan Source的缓解示例如下：

try
{
    Connection connection = DriverManager.getConnection(some_connection_string);
} catch (Exception e) {
    log(e);
} finally {
    connection.close();
}