Denial of Service: Format String

ユーザー入力でフォーマット パラメーターを制御できると、攻撃者が例外をスローしたり、情報を漏えいさせることができる可能性があります。

攻撃者は、Fortmat String 引数を変更して、例外をスローしたりできる場合があります。例外がキャッチされないままの場合、アプリケーションをクラッシュさせることにもなりかねません。あるいは、機密情報がほかの引数で使用されている場合、攻撃者が Format String を変更してその情報を開示する可能性もあります。

例 1: 次のコードでは、ユーザーが Formatter.format() で Format String 引数を指定できます。

  ...
  Formatter formatter = new Formatter(Locale.US);
  String format = "The customer: %s %s has the balance %4$." + userInput + "f";
  formatter.format(format, firstName, lastName, accountNo, balance);
  ...

このプログラムの目的は、ユーザーが残高を表示する小数点を指定できるようにすることです。しかし、実際には何の制限もありません。ユーザーが何でも指定できる場合、java.util.MissingFormatArgumentException などの例外がスローされる可能性があります。これは try ブロック内で発生した例外ではないため、アプリケーション障害につながる可能性があります。
この例でさらに重要なのは、攻撃者がユーザー入力を "2f %3$s %4$.2" に指定できる場合、Format String は "The customer: %s %s has the balance %4$.2f %3$s %4$.2" になるということです。その結果、機密情報である accountNo が、出力結果の文字列に含まれることになります。