Access Control: gRPC Authentication Bypass

신뢰할 수 없는 소스에서 Google Remote Procedure Call(gRPC) Metadata 개체가 생성됩니다.

Metadata 클래스는 Google Remote Procedure Call(gRPC)에서 사용하는 기본 프로토콜의 헤더 데이터를 저장하는 데 사용되는 경우가 많습니다. io.grpc.ServerInterceptor 클래스를 구현할 때는 Metadata 개체를 다음 io.grpc.ServerCallHandler 개체로 전달하기 전에 확인해야 합니다. 특히 호출자 ID가 있는 Metadata 개체는 반드시 확인해야 합니다.

예제 1: 다음 코드에는 gRPC Metadata 개체의 입력으로 사용되는 사용자 제어 가능 데이터가 나와 있습니다. 이 개체는 다음 io.grpc.ServerCallHandler 개체로 전달되기 전에 확인되지 않습니다.

class PotentialAuthByPassInterceptor implements ServerInterceptor {
    @Override
    public <ReqT, RespT> ServerCall.Listener<ReqT> interceptCall(ServerCall<ReqT, RespT> call, Metadata metadata, ServerCallHandler<ReqT, RespT> next) {
        return Contexts.interceptCall(Context.current(), call, metadata, next);
    }
}