FindSecBugs

Définition

FindSecBugs est un plugin de sécurité pour SpotBugs (et son prédécesseur FindBugs), l'analyseur statique de bytecode Java. FindSecBugs étend SpotBugs avec plus de 100 règles de sécurité spécifiques à Java et aux frameworks Java populaires (Spring, Struts, Play, Hibernate), permettant de détecter des vulnérabilités de sécurité dans le code Java compilé sans nécessiter le code source complet. C'est l'un des outils SAST Java les plus utilisés dans les pipelines DevSecOps. FindSecBugs analyse le bytecode Java (fichiers .class et .jar) plutôt que le code source, ce qui lui permet de détecter des vulnérabilités dans les dépendances dont le code source n'est pas disponible et de traiter le code de manière indépendante des outils de build. Cette approche bytecode offre également une plus grande précision pour certaines analyses de flux de données inter-procédurales. Les vulnérabilités détectées par FindSecBugs couvrent : les injections SQL (via une analyse de flux de données identifiant les chaînes SQL construites depuis des entrées non sanitisées), les injections LDAP et XPath, les vulnérabilités de désérialisation Java (utilisation de ObjectInputStream avec des données non fiables — vecteur RCE classique en Java), les problèmes cryptographiques (algorithmes faibles : DES, MD5, SHA1 ; modes de chiffrement non sécurisés : ECB ; générateurs aléatoires non cryptographiques), les XXE (XML External Entity injection), et les problèmes spécifiques aux frameworks (Struts 1/2, Spring Security misconfigurations). L'intégration de FindSecBugs dans un projet Maven Java se fait via le plugin spotbugs-maven-plugin avec le plugin FindSecBugs configuré comme dépendance d'analyse, exécuté dans la phase verify du build Maven. Les résultats sont générés en XML ou HTML et peuvent être publiés dans SonarQube (via l'import du rapport SpotBugs) pour un suivi centralisé.