.NET Attribute Misuse: Authorization Bypass

La aplicación omite la autorización otorgada por el atributo [Authorize] con el uso de un atributo [AllowAnonymous] de clase o método.

ASP.NET Core permite que las acciones de la aplicación requieran autorización agregando el atributo [Authorize] a una clase o un método. Además, el requisito de autorización especificado de una clase o método de aplicación se puede omitir agregando el atributo [AllowAnonymous]. Cuando se especifican ambos, el atributo [AllowAnonymous] tiene prioridad y omite el atributo [Authorize]. Esto puede resultar en el acceso arbitrario y anónimo a datos y acciones confidenciales por parte de un atacante.

Ejemplo 1: El siguiente ejemplo muestra el atributo [AllowAnonymous] de clase anulando un conjunto de atributos [Authorize] en el método. El método secretAction() no requiere autorización a pesar de tener el atributo [Authorize].

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

Ejemplo 2: El siguiente ejemplo muestra el atributo [AllowAnonymous] de clase de una superclase anulando un atributo [Authorize] establecido en el método de una subclase. Debido a que la clase heredada Inherit_AA tiene el atributo [AllowAnonymous], el método secretAction() no requiere autorización a pesar de especificar el atributo [Authorize].

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

Ejemplo 3: A continuación, se muestra el atributo [AllowAnonymous] que anula un atributo [Authorize] de método con herencia. Debido a que el método heredado secretAction() tiene el atributo [AllowAnonymous], el método secretAction() no requiere autorización, a pesar de especificar el atributo [Authorize] en el método de anulación.

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...