Spring Security Misconfiguration: Overly Permissive Firewall Policy

Spring Security の HTTP ファイアウォールには lax ポリシーが設定されています。

Spring Security に含まれている HTTP ファイアウォールは、悪意のあることが疑われる文字を含む要求を無害化することによってアプリケーションの保護を支援します。Spring では、HttpFirewall を FilterChainProxy に追加して、要求がフィルタ チェーン経由で送信される前に処理することで、この機能を実現します。Sprint Security はデフォルトで StrictHttpFirewall 実装を使用します。


例 1: 次のコードでは %2F と ; 文字を許容するようファイアウォール ポリシーを緩和します。

    <beans:bean id="httpFirewall" class="org.springframework.security.web.firewall.StrictHttpFirewall" p:allowSemicolon="true" p:allowUrlEncodedSlash="true"/>

悪意のあることが疑われる文字を許容すると、その文字の処理のされ方が正しくないか一貫していない場合に脆弱性を引き起こすことがあります。たとえば、セミコロンを許容するとパス パラメーター (RFC 2396 で定義) が有効化され、nginx などのフロントエンド Web サーバーや Apache Tomcat などのアプリケーション サーバーによる処理に一貫性がなくなります。このように一貫性がないことが、パス トラバーサル攻撃やアクセス制御バイパスに利用される可能性があります。