Access Control: gRPC Authentication Bypass

Google Remote Procedure Call (gRPC) Metadata オブジェクトが、信頼できないソースから作成されます。

Metadata クラスは、Google Remote Procedure Call (gRPC) で使用される基本プロトコルのヘッダー データを格納するためによく使用されます。io.grpc.ServerInterceptor クラスを実行する場合、Metadata オブジェクトは、次の io.grpc.ServerCallHandler オブジェクトに渡す前に検証される必要があります。特に Metadata オブジェクトに呼び出し元 ID がある場合です。

例 1: 次のコードは、gRPC Metadata オブジェクトへの入力として使用されるユーザー制御可能なデータを示しており、これは、次の io.grpc.ServerCallHandler オブジェクトに渡す前には検証されません。

class PotentialAuthByPassInterceptor implements ServerInterceptor {
    @Override
    public <ReqT, RespT> ServerCall.Listener<ReqT> interceptCall(ServerCall<ReqT, RespT> call, Metadata metadata, ServerCallHandler<ReqT, RespT> next) {
        return Contexts.interceptCall(Context.current(), call, metadata, next);
    }
}