System Information Leak: Incomplete Servlet Error Handling

Servlet이 모든 예외 사항을 캐치하지 못하면 공격자가 공격을 계획하는 데 도움이 되는 디버깅 정보를 노출할 수 있습니다.

Servlet에 예외 사항이 발생하면 Servlet 컨테이너가 사용자에게 보내는 기본 오류 응답에는 보통 디버깅 정보가 포함됩니다. 디버깅 정보는 공격자에게 아주 쓸모가 있습니다. 예를 들어, 스택 추적은 공격자에게 잘못된 SQL 쿼리 문자열, 사용 중인 데이터베이스 유형 및 응용 프로그램 컨테이너 버전을 보여줄 수 있습니다. 공격자는 이 정보를 사용하여 이 구성 요소의 알려진 취약점을 공략합니다.

예제 1: 다음 메서드에서 DNS 조회 실패로 Servlet에 예외 사항이 발생합니다.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String ip = req.getRemoteAddr();
    InetAddress addr = InetAddress.getByName(ip);
    ...
    out.println("hello " + addr.getHostName());
}

예제 2: 다음 메서드는 매개 변수 "name"이 요청한 부분이 아닌 경우 NullPointerException이 발생합니다.

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String name = getParameter("name");
    ...
    out.println("hello " + name.trim());
}