Weak SecurityManager Check: Overridable Method

보안 검사를 수행하는 final이 아닌 메서드는 보안 검사를 무시하는 방식으로 오버라이드될 수 있습니다.

메서드가 하위 클래스로 오버라이드되면 하위 클래스는 상위 클래스의 보안 검사를 무시할 수 있습니다.
예제 1: 다음 코드에서, doSecurityCheck()는 보안 검사를 수행하고 하위 클래스로 오버라이드될 수 있습니다.

public class BadSecurityCheck {
    private int id;

    public BadSecurityCheck() {
        doSecurityCheck();
        id = 1;
    }
    protected void doSecurityCheck() {
        SecurityManager sm = System.getSecurityManager();
        if (sm != null) {
            sm.checkPermission(new SomePermission("SomeAction"));
        }
    }
}

이 예제에서 SecurityManager 권한이 허용되지 않으면 SecurityException 예외가 발생합니다. 이 예외는 런타임 예외이므로 프로그램이 더 이상 실행되지 않습니다. BadSecurityCheck는 final이 아니며 doSecurityCheck() 메서드는 final이 아닌 protected이므로 이 함수를 오버라이드하도록 이 클래스를 하위 클래스로 구분할 수 있습니다.

예제 2: 다음 코드에서는 doSecurityCheck()가 하위 클래스에 의해 오버라이드됩니다.

public class EvilSubclass extends BadSecurityCheck {
    private int id;

    public EvilSubclass() {
        super();
    }
    protected void doSecurityCheck() {
        //do nothing
    }
}

EvilSubclass를 인스턴스화하면 구성자는 먼저 super()를 호출해 슈퍼클래스의 구성자를 호출합니다. 그러면 doSecurityCheck() 함수가 호출됩니다. 하지만 Java는 슈퍼클래스를 확인하기 전에 하위 클래스 내에서 함수를 먼저 확인하므로 보안 검사를 무시하는 공격자 제어 메서드가 호출되기 때문에 id는 계속 1로 설정되어 있습니다.