Access Control: Android Provider

適切な Access Control がない場合、ユーザーの制御下にある主キーを含む SQLite ステートメントを実行すると、攻撃者は権限のないレコードを見ることができます。

Access Control エラーは次の場合に SQLite クエリで発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。


2. SQLite クエリで主キーの値を特定するためにデータが使用されている場合。
例 1: 次のコードは、メタ文字をエスケープして Query String Injection の脆弱性を阻止するパラメーター化されたステートメントを使用して、ユーザーが指定した識別子と一致する領収書を検索する SQLite クエリを作成し、実行します。

  ...
  id = this.getIntent().getExtras().getInt("id");
  cursor = db.query(Uri.parse(invoices), columns, "id = ? ", {id}, null, null, null);
  ...
  

問題は、開発者が id に可能なすべての値を検討しきれていないことです。現在のユーザーに属する領収書 ID のリストがクエリにより生成されますが、攻撃者はこの動作を回避して希望する任意の領収書をリクエストすることができます。この例のコードの場合、リクエストされた領収書へのアクセス権限がユーザーにあるか確認しないため、現在のユーザー以外のものも含め、リクエスト通りに領収書を表示します。