계: Environment

이 섹션에는 소스 코드 외부에 있지만 제작 중인 제품의 보안에는 여전히 중요한 내용이 모두 포함되어 있습니다. 이 섹션에서 다루는 문제들은 소스 코드와 직접적으로 관련이 없기 때문에 나머지 섹션과 분리했습니다.

Struts Misconfiguration: Invalid Path

Abstract

경로 항목이 유효하지 않으면 Struts가 서비스 요청에 대한 올바른 리소스를 찾지 못합니다.

Explanation

Struts는 path 속성을 사용하여 요청을 처리하는 데 필요한 리소스를 찾습니다. 경로는 모듈 상대 위치이므로 "/" 문자로 시작되지 않는 경로는 오류입니다.

예제 1: 다음 구성에는 빈 경로가 있습니다.


<global-exceptions>
  <exception key="global.error.invalidLogin" path="" scope="request" type="InvalidLoginException" />
</global-exceptions>

예제 2: 다음 구성은 "/" 문자로 시작되지 않는 경로를 사용합니다.


<global-forwards>
  <forward name="login" path="Login.jsp" />
</global-forwards>

References

[1] Apache Struts Specification

[2] Chuck Caveness, Brian Keeton

[3] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[4] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[5] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[6] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[7] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

desc.config.java.struts_misconfiguration_invalid_path