Session Puzzling: Spring

공격자는 Spring 세션 속성을 수정하여 응용 프로그램 로직 남용을 유발할 수 있습니다.

@SessionAttributes 주석이 있는 클래스는 Spring이 세션 개체의 모델 속성에 변경 사항을 복제하는 것을 의미합니다. 공격자가 모델 속성 내에 임의 값을 저장할 수 있으면 이러한 변경 사항은 응용 프로그램에서 신뢰할 수 있는 세션 개체로 복제됩니다. 세션 속성이 사용자가 수정할 수 없어야 하는 신뢰할 수 있는 데이터를 사용하여 초기화되는 경우 공격자는 세션 퍼즐링 공격을 수행하여 응용 프로그램 로직을 남용할 수 있습니다.

예제 1: 다음 컨트롤러는 로그인 성공 시 사용자 데이터를 세션에 로드하는 메서드를 포함하고 있습니다.

@Controller
@SessionAttributes("user")
public class HomeController {
    ...
    @RequestMapping(value= "/auth", method=RequestMethod.POST)
    public String authHandler(@RequestParam String username, @RequestParam String password, RedirectAttributes attributes, Model model) {
        User user = userService.findByNamePassword(username, password);
        if (user == null) {
            // Handle error
            ...
        } else {
            // Handle success
            attributes.addFlashAttribute("user", user);
            return "redirect:home";
        }
    }
    ...
}

다른 컨트롤러는 암호 재설정 기능을 처리합니다. 이 컨트롤러는 클래스에 @SessionAttributes("user") 주석이 있으므로 세션에서 User 인스턴스를 로드하려고 시도하며, 이 인스턴스를 사용하여 암호 재설정 질문을 확인합니다.

@Controller
@SessionAttributes("user")
public class ResetPasswordController {

    @RequestMapping(value = "/resetQuestion", method = RequestMethod.POST)
    public String resetQuestionHandler(@RequestParam String answerReset, SessionStatus status, User user, Model model) {

        if (!user.getAnswer().equals(answerReset)) {
            // Handle error
            ...
        } else {
            // Handle success
            ...
        }
    }
}

개발자는 로그인 프로세스 중에 저장된 세션에서 user 인스턴스를 로드하려고 했습니다. 하지만 Spring은 이 요청을 검사하여 데이터를 모델 user 인스턴스로 바인딩하려고 시도할 것입니다. 받은 요청에 User 클래스에 바인딩될 수 있는 데이터가 포함된 경우, Spring은 받은 데이터를 사용자 세션 속성에 병합할 것입니다. 이 시나리오는 answerReset 쿼리 매개 변수의 임의 답변 및 동일한 값을 모두 제출함으로써 세션에 저장된 값을 재정의하는 방식으로 남용될 수 있습니다. 이러한 방법으로 공격자는 무작위 사용자에 대해 임의의 새 암호를 설정할 수 있습니다.