LDAP Injection

動的な LDAP フィルタの構築にユーザー入力を使用すると、攻撃者によるステートメントの改変が可能になります。

次の場合に LDAP Injection エラーが発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

この場合、データのソースが信頼できると Fortify Static Code Analyzer は判断できません。

2. データが LDAP フィルタの動的な構築に使用された場合。
例 1: 次のコードは、指定の上司にレポートする全従業員のレコードを取得する LDAP クエリを動的に構築し、実行します。この上司の名前は HTTP リクエストから読み取られるため、信頼することはできません。

...
DirectorySearcher src =
           new DirectorySearcher("(manager=" + managerName.Text + ")");
src.SearchRoot = de;
src.SearchScope = SearchScope.Subtree;

foreach(SearchResult res in src.FindAll()) {
  ...
}

John Smith という上司にレポートする従業員を検索するような通常の状況では、このコードが実行するフィルタは次のようになります。

(manager=Smith, John)

ただし、フィルタは定数ベースのクエリ文字列とユーザー入力の文字列を連結して動的に構築されるため、managerName に LDAP メタ文字が含まれない場合のみクエリは正しく動作します。攻撃者が managerName に文字列「Hacker, Wiley)(|(objectclass=*)」を入力すると、クエリは次のようになります。

(manager=Hacker, Wiley)(|(objectclass=*))

クエリが実行されるときの許可に応じて、|(objectclass=*) 条件の追加により、ディレクトリにあるすべてのエントリに対してフィルタが一致することになり、攻撃者はユーザーのプール全体に関する情報を取得できるようになります。LDAP クエリが実行されるときの許可によって、攻撃の範囲は限定される場合がありますが、攻撃者がクエリのコマンド構造を制御できる場合、この問題を利用する攻撃により少なくとも LDAP クエリを実行するユーザーがアクセスできるすべてのレコードが影響を受ける場合があります。

動的な LDAP フィルタの構築にユーザー入力を使用すると、攻撃者によるステートメントの改変が可能になります。

次の場合に LDAP Injection エラーが発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. データが LDAP フィルタの動的な構築に使用された場合。
例 1: 次のコードは、指定の上司にレポートする全従業員のレコードを取得する LDAP クエリを動的に構築し、実行します。この上司の名前はネットワークソケットから読み取られるため、信頼することはできません。

fgets(manager, sizeof(manager), socket);

snprintf(filter, sizeof(filter, "(manager=%s)", manager);

if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
       filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
       LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
  ...
}

John Smith という上司にレポートする従業員を検索するような通常の状況では、このコードが実行するフィルタは次のようになります。

(manager=Smith, John)

ただし、フィルタは定数ベースのクエリ文字列とユーザー入力の文字列を連結して動的に構築されるため、manager に LDAP メタ文字が含まれない場合のみクエリは正しく動作します。攻撃者が manager に文字列「Hacker, Wiley)(|(objectclass=*)」を入力すると、クエリは次のようになります。

(manager=Hacker, Wiley)(|(objectclass=*))

クエリが実行されるときの許可に応じて、|(objectclass=*) 条件の追加により、ディレクトリにあるすべてのエントリに対してフィルタが一致することになり、攻撃者はユーザーのプール全体に関する情報を取得できるようになります。LDAP クエリが実行されるときの許可によって、攻撃の範囲は限定される場合がありますが、攻撃者がクエリのコマンド構造を制御できる場合、この問題を利用する攻撃により少なくとも LDAP クエリを実行するユーザーがアクセスできるすべてのレコードが影響を受ける場合があります。

動的な LDAP フィルタの構築にユーザー入力を使用すると、攻撃者によるステートメントの改変が可能になります。

次の場合に LDAP Injection エラーが発生します。
1.信頼できないソースからデータがプログラムに入り込んだ場合。

2.データが LDAP フィルタの動的な構築に使用された場合。
例 1: 次のコードは、指定の上司にレポートする全従業員のレコードを取得する LDAP クエリを動的に構築し、実行します。この上司の名前は HTTP リクエストから読み取られるため、信頼することはできません。

...
$managerName = $_POST["managerName"]];

//retrieve all of the employees who report to a manager

$filter = "(manager=" . $managerName . ")";

$result = ldap_search($ds, "ou=People,dc=example,dc=com", $filter);
...

John Smith という上司にレポートする従業員を検索するような通常の状況では、このコードが実行するフィルタは次のようになります。

(manager=Smith, John)

ただし、フィルタは定数ベースのクエリ文字列とユーザー入力の文字列を連結して動的に構築されるため、managerName に LDAP メタ文字が含まれない場合のみクエリは正しく動作します。攻撃者が managerName に文字列「Hacker, Wiley)(|(objectclass=*)」を入力すると、クエリは次のようになります。

(manager=Hacker, Wiley)(|(objectclass=*))

クエリが実行されるときの許可に応じて、|(objectclass=*) 条件の追加により、ディレクトリにあるすべてのエントリに対してフィルタが一致することになり、攻撃者はユーザーのプール全体に関する情報を取得できるようになります。LDAP クエリが実行されるときの許可によって、攻撃の範囲は限定される場合がありますが、攻撃者がクエリのコマンド構造を制御できる場合、この問題を利用する攻撃により少なくとも LDAP クエリを実行するユーザーがアクセスできるすべてのレコードが影響を受ける場合があります。