NoSQL Injection: DynamoDB

Si elabora una consulta DynamoDB dinámica con una entrada de un origen que no es de confianza, un usuario malintencionado podría modificar el significado de la instrucción.

Las vulnerabilidades NoSQL Injection en DynamoDB se pueden producir cuando:

1. Los datos se introducen en un programa desde un origen que no es de confianza.



2. Los datos se utilizan para crear dinámicamente una consulta DynamoDB.

Ejemplo 1: El siguiente código crea y ejecuta dinámicamente una consulta DynamoDB que busca a un usuario en función de su nombre de usuario o dirección de correo electrónico, junto con su contraseña.

    ...
        // "type" parameter expected to be either: "Email" or "Username"
        string type = request["type"];
        string value = request["value"];
        string password = request["password"];
        
        var ddb = new AmazonDynamoDBClient();
    
        var attrValues = new Dictionary<string,AttributeValue>();
        attrValues[":value"] = new AttributeValue(value);
        attrValues[":password"] = new AttributeValue(password);
    
        var scanRequest = new ScanRequest();
        scanRequest.FilterExpression = type + " = :value AND Password = :password";
        scanRequest.TableName = "users";
        scanRequest.ExpressionAttributeValues = attrValues;
    
        var scanResponse = await ddb.ScanAsync(scanRequest);
    ...
    

La consulta intenta ejecutar el código siguiente:

Email = :value AND Password = :password

o

Username = :value AND Password = :password

Sin embargo, dado que la consulta se crea dinámicamente mediante la concatenación de una cadena de consulta de base constante y una cadena de entrada del usuario, solo funciona correctamente si type contiene alguno de los valores esperados. Si un usuario malintencionado introduce un valor de tipo como :value = :value OR :value, entonces la consulta será como se muestra a continuación:

:value = :value OR :value = :value AND Password = :password

La adición de la condición :value = :value hace que la cláusula where siempre se evalúe como true, por lo que la consulta devuelve todas las entradas almacenadas en la colección users, sin importar el propietario del correo electrónico.