.NET Attribute Misuse: Authorization Bypass

응용 프로그램이 클래스 또는 메서드 수준에서 [AllowAnonymous] 속성을 사용하여 [Authorize] 속성이 부여한 권한 부여를 우회합니다.

ASP.NET Core를 사용하면 [Authorize] 속성을 클래스 또는 메서드에 추가하여 응용 프로그램 작업에 권한 부여가 필요하도록 만들 수 있습니다. 또한 [AllowAnonymous] 속성을 추가하여 응용 프로그램 클래스 또는 메서드의 지정된 권한 부여 요구 사항을 우회할 수 있습니다. 둘 다 지정하면 [AllowAnonymous] 속성이 우선적으로 적용되고 [Authorize] 속성을 우회합니다. 이로 인해 공격자가 민감한 데이터 및 작업에 임의로 익명으로 액세스할 수 있습니다.

예제 1: 다음 예제는 메서드에 설정된 [Authorize] 속성을 재정의하는 클래스 수준의 [AllowAnonymous] 속성을 보여줍니다. secretAction() 메서드는 [Authorize] 속성이 있음에도 불구하고 권한 부여가 필요하지 않습니다.

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

예제 2: 다음 예제는 하위 클래스의 메서드에 설정된 [Authorize] 속성을 재정의하는 슈퍼클래스 클래스 수준의 [AllowAnonymous] 속성을 보여줍니다. 상속된 클래스 Inherit_AA의 [AllowAnonymous] 속성으로 인해 secretAction() 메서드는[Authorize] 속성을 지정함에도 불구하고 권한 부여가 필요하지 않습니다.

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

예제 3: 다음은 상속이 있는 메서드 수준에서 [Authorize] 속성을 재정의하는 [AllowAnonymous] 속성을 보여줍니다. 상속된 메서드 secretAction()의 [AllowAnonymous] 속성으로 인해 secretAction() 메서드는[Authorize] 속성을 지정함에도 불구하고 권한 부여가 필요하지 않습니다.

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...