Access Control: LDAP

適切な Access Control がない場合、ユーザーの制御下にある値を含む LDAP ステートメントを実行すると、攻撃者は権限のないディレクトリエントリにアクセスできます。

データベースの Access Control エラーが発生するのは次の場合です。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. データが LDAP クエリのデータ値を指定するために使用される場合。
例 1: 現在認証されているユーザーの従業員 ID は、クライアントサイドインターフェイスからの各リクエストで自動的に送信されます。次のコードは、LDAP クエリの構築に使用する前に、許可リストを使用して従業員の名前を検証します。この検証により、LDAP Injection の脆弱性を防ぐことができますが、コードは脆弱なままとなります。

static string AllowlistVerify(string name) {
    Regex pattern = new Regex(@"^[a-zA-Z\-\.']+$");
    if (pattern.IsMatch(name)) {
        return name;
    }
    return null;
}

...
string verifiedName = AllowlistVerify(managerName.Text.trim());
if(verifiedName != null) {
    DirectorySearcher src = new DirectorySearcher("(manager=" + verifiedName + ")");
    src.SearchRoot = de;
    src.SearchScope = SearchScope.Subtree;

    foreach(SearchResult res in src.FindAll()) {
        ...
    }
}

この問題は、開発者が empName に攻撃者が別の値を指定したときにどのような動作が起こりうるかを検討していない点にあります。このインターフェイスは、現在のユーザーの従業員 ID を自動的に送信しますが、攻撃者は悪意あるリクエストの一部として別の値を送信できる場合があります。この例のコードは、匿名バインドでクエリを実行しているため、現在認証されているユーザーの ID に関わらず、すべての有効な従業員 ID のディレクトリエントリを返します。

適切な Access Control がない場合、ユーザーの制御下にある値を含む LDAP ステートメントを実行すると、攻撃者は権限のないディレクトリエントリにアクセスできます。

データベースの Access Control エラーが発生するのは次の場合です。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. データが LDAP クエリのデータ値を指定するために使用される場合。
例 1: 次のコードは、LDAP クエリの構築に使用する前に、許可リストを使用してソケットから読み取った従業員の名前を検証します。この検証により、LDAP Injection の脆弱性を防ぐことができますが、コードは脆弱なままとなります。

char* allowlist_verify(char* name) {
    const char *error;
    int errOffset;
    char* regex = "^[a-zA-Z\\-\\.']+$";
    pcre* re = pcre_compile(regex, 0, &err, &errOffset, NULL);
    int rc = pcre_exec(re, NULL, name, strlen(name), 0, 0, NULL, 0);
    if (rc == 1)
        return name;
    return NULL;
}
...
fgets(managerName, sizeof(managerName), socket);
char* verified_name = allowlist_verify(managerName);
if(verified_name != NULL) {
    snprintf(filter, sizeof(filter), "(manager=%s)", verified_name);
    if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
            filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
            LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
    ...
    }
}

この問題は、開発者が username に攻撃者が別の値を指定したときにどのような動作が起こりうるかを検討していない点にあります。この例のコードは、匿名バインドでクエリを実行しているため、現在認証されているユーザーの ID に関わらず、すべての有効な従業員 ID のディレクトリエントリを返します。