Prototype Pollution

그러면 응용 프로그램에서 사용자가 프로토타입을 오염시킬 수 있게 됩니다.

프로토타입 오염에서는 악의적인 사용자가 개체의 프로토타입을 덮어쓸 수 있습니다.
프로토타입 오염의 개념을 이해하려면 프로토타입 상속에 대해 파악해야 합니다. 프로토타입과 프로토타입 체인은 상속 지원을 위한 JavaScript의 속성과 함수 조회 기능으로 사용됩니다. 특정 개체의 속성 액세스를 시도하면 현재 개체 정의 확인이 진행됩니다. 현재 개체가 속성을 정의하지 않으면 프로토타입 클래스가 확인됩니다. 이러한 방식으로 속성이 확인되거나 설정된 프로토타입이 더 이상 남아 있지 않을 때까지 프로토타입을 반복적으로 확인합니다.

JavaScript의 대다수 개체에서는 프로토타입이 기본적으로 Object.prototype을 가리키므로 개체 프로토타입을 덮어쓸 수 있는 공격자는 보통 Object.prototype의 정의도 덮어쓸 수 있습니다. 그러면 응용 프로그램 내의 모든 개체가 영향을 받게 됩니다.

응용 프로그램이나 해당 종속성 중 하나에서 속성을 항상 명시적으로 설정하지 않고 undefined로 설정할 수 있는 경우 프로토타입이 오염되면 응용 프로그램이 올바른 개체가 아닌 프로토타입에서 속성을 잘못 읽을 수도 있습니다.

프로토타입 오염은 다음과 같은 경우에 발생할 수 있습니다.

1. 신뢰할 수 없는 소스의 데이터가 프로그램에 입력됩니다.



2. 프로토타입 덮어쓰기를 허용하는 API로 데이터가 전달됩니다.

예제 1: 다음 코드는 lodash의 취약한 버전을 사용하여 개체의 프로토타입을 오염시킵니다.

import * as lodash from 'lodash'
...
let clonedObject = lodash.merge({}, JSON.parse(untrustedInput));
...

여기서 신뢰할 수 없는 입력이 {"__proto__": { "isAdmin": true}}라면 Object.prototype에서 isAdmin = true가 정의됩니다.

응용 프로그램 뒷부분에는 다음 코드가 있다고 간주합니다.

...
let config = {}
if (isAuthorizedAsAdmin()){
    config.isAdmin = true;
}
...
if (config.isAdmin) {
    // do something as the admin
}
...

isAdmin은 isAuthorizedAdmin()이 true를 반환하는 경우에만 true로 설정되어야 합니다. 그런데 응용 프로그램이 else 조건에서 config.isAdmin = false를 설정하지 않으므로 config.isAdmin === undefined === false가 사용됩니다.
그리고 프로토타입이 오염되었으므로 config의 프로토타입은 이제 isAdmin === true로 설정되었습니다. 따라서 관리자 인증을 우회할 수 있습니다.