Query String Injection: Android Provider

ユーザー入力を含む SQLite クエリステートメントを構築すると、攻撃者が承認されていないレコードにアクセスする可能性があります。

Query String Injection の脆弱性が発生するのは次の場合です。
1. 信頼できないソースからデータがプログラムに入り込んだ場合。



この場合、Fortify Static Code Analyzer はデータのソースが信頼できると判断できません。

2. データが SQLite クエリの動的な構築に使用された場合。

SQLite Query String Injection により、悪意のあるユーザーが承認されていないレコードにアクセスする可能性がありますが、データベースの状態は変更されることはありません。

例 1: 次のコードは、顧客とユーザーが指定した製品カテゴリに関連する領収書を検索する SQLite クエリを動的に構築し、実行します。ユーザーは結果を並び替えるカラムを指定することもできます。プログラムがすでに認証されており、このコードセグメントの前に customerID の値を設定していると仮定します。

  ...
  productCategory = this.getIntent().getExtras().getString("productCategory");
  sortColumn = this.getIntent().getExtras().getString("sortColumn");
  customerID = getAuthenticatedCustomerID(customerName, customerCredentials);
  c = invoicesDB.query(Uri.parse(invoices), columns, "productCategory = '" + productCategory + "' and customerID = '" + customerID + "'", null, null, null, "'" + sortColumn + "'asc", null);
  ...
  

このコードによって実行されるクエリは次のようになります。

  select * from invoices
  where productCategory = 'Fax Machines'
  and customerID = '12345678'
  order by 'price' asc
  

しかし、クエリは定数ベースのクエリ文字列とユーザー入力の文字列 productCategory を連結して、動的に構築されます。そのため、productCategory および sortColumn に単一引用符が含まれない場合にのみ、クエリは正しく動作します。攻撃者が、"Fax Machines' or productCategory = \"" という文字列を productCategory に、文字列 "\" order by 'price" を sortColumn に指定すると、クエリは次のようになります。

  select * from invoices
  where productCategory = 'Fax Machines' or productCategory = "'
  and customerID = '12345678'
  order by '" order by 'price' asc
  

また、さらに読みやすい形式では、

  select * from invoices
  where productCategory = 'Fax Machines'
  or productCategory = "' and customerID = '12345678' order by '"
  order by 'price' asc
  

これらの入力では、攻撃者は customerID で必要な認証を回避でき、すべての顧客について 'Fax Machines' と一致する領収書のレコードを表示できます。