.NET Attribute Misuse: Authorization Bypass

アプリケーションは、クラス レベルまたはメソッド レベルの [AllowAnonymous] 属性を使用して、[Authorize] 属性による認証をバイパスします。

ASP.NET Core では、[Authorize] 属性をクラスまたはメソッドに追加することにより、アプリケーション アクションで認証を要求するようにできます。さらに、[AllowAnonymous] 属性を追加することで、アプリケーション クラスまたはメソッドの指定された認証要件をバイパスできます。両方を指定すると、[AllowAnonymous] 属性が優先され、[Authorize] 属性はバイパスされます。これにより、攻撃者が、機密データやアクションに対して無作為で匿名のアクセスを行う可能性があります。

例 1: 次の例は、クラス レベルの [AllowAnonymous] 属性が、メソッドに設定された [Authorize] 属性をオーバーライドしていることを示しています。[Authorize] 属性があるにもかかわらず、secretAction() メソッドは認証を要求しません。

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

例 2: 次の例は、スーパークラスのクラス レベルの [AllowAnonymous] 属性が、サブクラスのメソッドに設定された [Authorize] 属性をオーバーライドしていることを示しています。継承されたクラス Inherit_AA に [AllowAnonymous] 属性があるため、secretAction() メソッドは、[Authorize] 属性を指定していても認証を要求しません。

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

例 3: 以下は、[AllowAnonymous] 属性が、継承を使用して、メソッド レベルで [Authorize] 属性をオーバーライドしていることを示しています。継承されたクラス secretAction() に [AllowAnonymous] 属性があるため、secretAction() メソッドは、オーバーライドするメソッドで [Authorize] 属性を指定していても認証を要求しません。

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...