Reino: Input Validation and Representation

Los problemas de validación y representación de entradas están causados por metacaracteres, codificaciones alternativas y representaciones numéricas. Los problemas de seguridad surgen de entradas en las que se confía. Estos problemas incluyen: «desbordamientos de búfer», ataques de «scripts de sitios», "SQL injection" y muchas otras acciones.

Connection String Parameter Pollution

Abstract

La concatenación de entradas sin validar en una conexión a base de datos puede permitir que un usuario malintencionado anule el valor de un parámetro de solicitud. Un usuario malintencionado puede anular los valores de los parámetros existentes, inyectar un nuevo parámetro o atacar las variables fuera de un alcance directo.

Explanation

Los ataques de contaminación de parámetros de la cadena de conexión (CSPP) consisten en inyectar parámetros de la cadena de conexión en otros parámetros existentes. Esta vulnerabilidad es similar a otras vulnerabilidades, y quizás la más conocida, que se producen en entornos HTTP donde también se puede registrar contaminación de parámetros. Sin embargo, también se puede aplicar en otros lugares, como cadenas de conexión a base de datos. Si una aplicación no corrige adecuadamente la entrada del usuario, un usuario malintencionado puede poner en peligro la lógica de la aplicación para llevar a cabo ataques de robo de credenciales para recuperar la base de datos completa. Mediante el envío de parámetros adicionales a una aplicación y si estos parámetros tienen el mismo nombre que un parámetro existente, la conexión a la base de datos puede reaccionar de una de las siguientes maneras:

Solo puede obtener los datos del primer parámetro
Puede obtener los datos del último parámetro
Puede obtener los datos de todos los parámetros y concatenarlos juntos

Esto puede depender de la unidad utilizada, el tipo de base de datos o incluso cómo se utilizan las API.

Ejemplo 1: el código siguiente utilizan la entrada de una solicitud HTTP para conectarse a una base de datos:


      ...
      string password = Request.Form["db_pass"]; //gets POST parameter 'db_pass'
      SqlConnection DBconn = new SqlConnection("Data Source = myDataSource; Initial Catalog = db; User ID = myUsername; Password = " + password + ";");
      ...

En este ejemplo, el programador no ha considerado que un usuario malintencionado podría proporcionar un parámetro db_pass como:
"xxx; Integrated Security = true" la cadena de conexión se vuelve:

"Data Source = myDataSource; Initial Catalog = db; User ID = myUsername; Password = xxx; Integrated Security = true; "

Esto hará que la aplicación se conecte a la base de datos mediante la cuenta del sistema operativo bajo la cual se está ejecutando la aplicación para eludir la autenticación normal. Esto significaría que el usuario malintencionado podría conectarse a la base de datos sin una contraseña válida y realizar consultas a la base de datos directamente.

References

[1] Chema Alonso, Manuel Fernandez, Alejandro Martin and Antonio Guzmán Connection String Parameter Pollution Attacks

[2] Eric P. Maurice A New Threat To Web Applications: Connection String Parameter Pollution (CSPP)

[3] Standards Mapping - CIS Azure Kubernetes Service Benchmark 3.5

[4] Standards Mapping - CIS Microsoft Azure Foundations Benchmark complete

[5] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 5.0

[6] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[7] Standards Mapping - CIS Google Cloud Computing Platform Benchmark partial

[8] Standards Mapping - CIS Google Kubernetes Engine Benchmark integrity

[9] Standards Mapping - CIS Kubernetes Benchmark partial

[10] Standards Mapping - Common Weakness Enumeration CWE ID 235

[11] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-002754

[12] Standards Mapping - FIPS200 SI

[13] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[14] Standards Mapping - NIST Special Publication 800-53 Revision 4 SI-10 Information Input Validation (P1)

[15] Standards Mapping - NIST Special Publication 800-53 Revision 5 SI-10 Information Input Validation

[16] Standards Mapping - OWASP Top 10 2004 A6 Injection Flaws

[17] Standards Mapping - OWASP Top 10 2007 A2 Injection Flaws

[18] Standards Mapping - OWASP Top 10 2010 A1 Injection

[19] Standards Mapping - OWASP Top 10 2013 A1 Injection

[20] Standards Mapping - OWASP Top 10 2017 A1 Injection

[21] Standards Mapping - OWASP Top 10 2021 A03 Injection

[22] Standards Mapping - OWASP Application Security Verification Standard 4.0 5.1.1 Input Validation Requirements (L1 L2 L3), 8.1.3 General Data Protection (L2 L3)

[23] Standards Mapping - OWASP Mobile 2014 M7 Client Side Injection

[24] Standards Mapping - OWASP Mobile 2024 M4 Insufficient Input/Output Validation

[25] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-CODE-4

[26] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.6

[27] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.3.1.1, Requirement 6.5.2

[28] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 Requirement 6.5.1

[29] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.1

[30] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.1

[31] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.1

[32] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.1

[33] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[34] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[35] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation

[36] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation, Control Objective C.3.2 - Web Software Attack Mitigation

[37] Standards Mapping - SANS Top 25 2009 Insecure Interaction - CWE ID 020

[38] Standards Mapping - SANS Top 25 2010 Porous Defenses - CWE ID 807

[39] Standards Mapping - SANS Top 25 2011 Porous Defenses - CWE ID 807

[40] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3510 CAT I

[41] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3510 CAT I

[42] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3510 CAT I

[43] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3510 CAT I

[44] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3510 CAT I

[45] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3510 CAT I

[46] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3510 CAT I

[47] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-002560 CAT I

[48] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-002560 CAT I

[49] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-002560 CAT I

[50] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-002560 CAT I

[51] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-002560 CAT I

[52] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-002560 CAT I

[53] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-002560 CAT I

[54] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-002560 CAT I

[55] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-002560 CAT I

[56] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-002560 CAT I

[57] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-002560 CAT I

[58] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-002560 CAT I

[59] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-002560 CAT I

[60] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-002530 CAT II, APSC-DV-002560 CAT I

[61] Standards Mapping - Web Application Security Consortium Version 2.00 Improper Input Handling (WASC-20)

desc.dataflow.dotnet.connection_string_parameter_pollution

Abstract

La concatenación de entradas sin validar en una conexión a base de datos puede permitir que un atacante anule el valor de un parámetro de solicitud. Un atacante puede anular los valores de los parámetros existentes, inyectar un nuevo parámetro o aprovechar las variables fuera de un alcance directo.

Explanation

Los ataques de contaminación de parámetros de la cadena de conexión (CSPP) consisten en inyectar parámetros de la cadena de conexión en otros parámetros existentes. Esta vulnerabilidad es similar a otras vulnerabilidades, quizás más conocidas, que se producen en entornos HTTP donde también se puede registrar contaminación de parámetros. Sin embargo, también se puede aplicar en otros lugares, como cadenas de conexión a base de datos. Si una aplicación no corrige adecuadamente la entrada de usuario, un usuario malintencionado puede poner en peligro la lógica de la aplicación para llevar a cabo ataques que abarcan desde robar credenciales hasta recuperar la base de datos completa. Mediante el envío de parámetros adicionales con el mismo nombre que un parámetro existente a una aplicación, la base de datos puede reaccionar de una de las siguientes maneras:

Es posible que obtenga los datos del primer parámetro.
Es posible que obtenga los datos del último parámetro.
Es posible que obtenga los datos de todos los parámetros y los concatene juntos.

Esto depende de la unidad utilizada, del tipo de base de datos o incluso de la forma en que se usen las API.

Ejemplo 1: El código siguiente utiliza la entrada de una solicitud HTTP para conectarse a una base de datos:


    ...
    password := request.FormValue("db_pass")
    db, err := sql.Open("mysql", "user:" + password + "@/dbname")
    ...

En este ejemplo, el programador no ha considerado que un atacante podría proporcionar un parámetro db_pass como:
"xxx@/attackerdb?foo=" la cadena de conexión se vuelve:

"user:xxx@/attackerdb?foo=/dbname"

Esto hará que la aplicación se conecte a una base de datos de controlador del atacante, con lo que este podrá controlar los datos que se devuelven a la aplicación.

References

[1] Chema Alonso, Manuel Fernandez, Alejandro Martin and Antonio Guzmán Connection String Parameter Pollution Attacks

[2] Standards Mapping - CIS Azure Kubernetes Service Benchmark 3.5

[3] Standards Mapping - CIS Microsoft Azure Foundations Benchmark complete

[4] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 5.0

[5] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[6] Standards Mapping - CIS Google Cloud Computing Platform Benchmark partial

[7] Standards Mapping - CIS Google Kubernetes Engine Benchmark integrity

[8] Standards Mapping - CIS Kubernetes Benchmark partial

[9] Standards Mapping - Common Weakness Enumeration CWE ID 235

[10] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-002754

[11] Standards Mapping - FIPS200 SI

[12] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[13] Standards Mapping - NIST Special Publication 800-53 Revision 4 SI-10 Information Input Validation (P1)

[14] Standards Mapping - NIST Special Publication 800-53 Revision 5 SI-10 Information Input Validation

[15] Standards Mapping - OWASP Top 10 2004 A6 Injection Flaws

[16] Standards Mapping - OWASP Top 10 2007 A2 Injection Flaws

[17] Standards Mapping - OWASP Top 10 2010 A1 Injection

[18] Standards Mapping - OWASP Top 10 2013 A1 Injection

[19] Standards Mapping - OWASP Top 10 2017 A1 Injection

[20] Standards Mapping - OWASP Top 10 2021 A03 Injection

[21] Standards Mapping - OWASP Application Security Verification Standard 4.0 5.1.1 Input Validation Requirements (L1 L2 L3), 8.1.3 General Data Protection (L2 L3)

[22] Standards Mapping - OWASP Mobile 2014 M7 Client Side Injection

[23] Standards Mapping - OWASP Mobile 2024 M4 Insufficient Input/Output Validation

[24] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-CODE-4

[25] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.6

[26] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.3.1.1, Requirement 6.5.2

[27] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 Requirement 6.5.1

[28] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.1

[29] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.1

[30] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.1

[31] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.1

[32] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[33] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[34] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation

[35] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation, Control Objective C.3.2 - Web Software Attack Mitigation

[36] Standards Mapping - SANS Top 25 2009 Insecure Interaction - CWE ID 020

[37] Standards Mapping - SANS Top 25 2010 Porous Defenses - CWE ID 807

[38] Standards Mapping - SANS Top 25 2011 Porous Defenses - CWE ID 807

[39] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3510 CAT I

[40] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3510 CAT I

[41] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3510 CAT I

[42] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3510 CAT I

[43] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3510 CAT I

[44] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3510 CAT I

[45] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3510 CAT I

[46] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-002560 CAT I

[47] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-002560 CAT I

[48] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-002560 CAT I

[49] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-002560 CAT I

[50] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-002560 CAT I

[51] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-002560 CAT I

[52] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-002560 CAT I

[53] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-002560 CAT I

[54] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-002560 CAT I

[55] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-002560 CAT I

[56] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-002560 CAT I

[57] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-002560 CAT I

[58] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-002560 CAT I

[59] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-002530 CAT II, APSC-DV-002560 CAT I

[60] Standards Mapping - Web Application Security Consortium Version 2.00 Improper Input Handling (WASC-20)

desc.dataflow.golang.connection_string_parameter_pollution

Abstract

Explanation

Los ataques de contaminación de parámetros de la cadena de conexión (CSPP) consisten en inyectar parámetros de la cadena de conexión en otros parámetros existentes. Esta vulnerabilidad es similar a otras vulnerabilidades, y quizás la más conocida, que se producen en entornos HTTP donde también se puede registrar contaminación de parámetros. Sin embargo, también se puede aplicar en otros lugares, como cadenas de conexión a base de datos. Si una aplicación no corrige adecuadamente la entrada del usuario, un usuario malintencionado puede poner en peligro la lógica de la aplicación para llevar a cabo ataques de robo de credenciales para recuperar la base de datos completa. Mediante el envío de parámetros adicionales a una aplicación y si estos parámetros tienen el mismo nombre que un parámetro existente, la conexión a la base de datos puede reaccionar de una de las siguientes maneras:

Solo puede obtener los datos del primer parámetro
Puede obtener los datos del último parámetro
Puede obtener los datos de todos los parámetros y concatenarlos juntos

Esto puede depender de la unidad utilizada, del tipo de base de datos o incluso del uso de las API.

Ejemplo 1:el código siguiente utiliza la entrada de una solicitud HTTP para conectarse a una base de datos:


username = req.field('username')
password = req.field('password')
...
client = MongoClient('mongodb://%s:%s@aMongoDBInstance.com/?ssl=true' % (username, password))
...

En este ejemplo, el programador no ha considerado que un usuario malintencionado podría proporcionar un parámetro password como:
"myPassword@aMongoDBInstance.com/?ssl=false&" luego, la cadena de conexión se vuelve (suponiendo que el nombre de usuario es "scott"):

"mongodb://scott:myPassword@aMongoDBInstance.com/?ssl=false&@aMongoDBInstance.com/?ssl=true"

Esto hará que "@aMongoDBInstance.com/?ssl=true" se trate como un argumento no válido adicional, con lo que se ignorará "ssl=true" y se conectará a la base de datos sin cifrado.