Access Control: LDAP

적절한 access control 없이 사용자가 제어하는 값을 포함하는 LDAP 문을 실행하면 공격자가 허가 받지 않은 디렉터리 항목에 접근할 수 있습니다.

데이터베이스 Access control 오류는 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다.

2. 데이터는 LDAP 쿼리에서 데이터 값을 지정하는 데 사용됩니다.
예제 1: 현재 인증된 사용자의 직원 ID가 클라이언트 쪽 인터페이스에 의한 각 요청으로 자동 제출됩니다. 다음 코드는 LDAP 쿼리를 생성하기 전에 허용 목록을 사용하여 직원 이름을 정확하게 검증합니다. 이 검증은 LDAP injection 취약점을 예방하지만 코드가 취약해질 수 있습니다.

static string AllowlistVerify(string name) {
    Regex pattern = new Regex(@"^[a-zA-Z\-\.']+$");
    if (pattern.IsMatch(name)) {
        return name;
    }
    return null;
}

...
string verifiedName = AllowlistVerify(managerName.Text.trim());
if(verifiedName != null) {
    DirectorySearcher src = new DirectorySearcher("(manager=" + verifiedName + ")");
    src.SearchRoot = de;
    src.SearchScope = SearchScope.Subtree;

    foreach(SearchResult res in src.FindAll()) {
        ...
    }
}

문제는 개발자가 공격자가 empName의 다른 값을 제공할 경우 발생될 일에 대해 고려하지 못했다는 점입니다. 인터페이스에서 현재 사용자의 직원 ID를 자동으로 제공하지만 공격자는 악의적인 요청의 일부로 다른 값을 제공할 수 있습니다. 이 예제의 코드가 익명의 바인딩에서 쿼리를 실행하므로 현재 인증된 사용자의 ID와 관계 없이 올바른 직원 ID에 대한 디렉터리 항목을 반환할 것입니다.

적절한 access control 없이 사용자가 제어하는 값을 포함하는 LDAP 문을 실행하면 공격자가 허가 받지 않은 디렉터리 항목에 접근할 수 있습니다.

데이터베이스 Access control 오류는 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다.

2. 데이터는 LDAP 쿼리에서 데이터 값을 지정하는 데 사용됩니다.
예제 1: 다음 코드는 LDAP 쿼리를 생성하기 전에 허용 목록을 사용하여 소켓에서 읽은 직원 이름을 검증합니다. 이 검증은 LDAP injection 취약점을 예방하지만 코드가 취약해질 수 있습니다.

char* allowlist_verify(char* name) {
    const char *error;
    int errOffset;
    char* regex = "^[a-zA-Z\\-\\.']+$";
    pcre* re = pcre_compile(regex, 0, &err, &errOffset, NULL);
    int rc = pcre_exec(re, NULL, name, strlen(name), 0, 0, NULL, 0);
    if (rc == 1)
        return name;
    return NULL;
}
...
fgets(managerName, sizeof(managerName), socket);
char* verified_name = allowlist_verify(managerName);
if(verified_name != NULL) {
    snprintf(filter, sizeof(filter), "(manager=%s)", verified_name);
    if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
            filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
            LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
    ...
    }
}

문제는 개발자가 공격자가 username의 다른 값을 제공할 경우 발생될 일에 대해 고려하지 못했다는 점입니다. 이 예제의 코드가 익명의 바인딩에서 쿼리를 실행하므로 현재 인증된 사용자의 ID와 관계 없이 올바른 직원 ID에 대한 디렉터리 항목을 반환할 것입니다.