Coders Conquer Security OWASP Top 10 API-Reihe – Mass Assignment

Die Mass-Assignment-Schwachstelle entstand, weil viele moderne Frameworks Entwickler dazu ermutigen, Funktionen zu verwenden, die Eingaben von Clients automatisch an Codevariablen und interne Objekte binden. Dies geschieht, um den Code zu vereinfachen und Abläufe zu beschleunigen.

Angreifer können diese Methode nutzen, um Änderungen an Objekteigenschaften zu erzwingen, die niemals von einem Client aktualisiert werden sollten. Normalerweise führt dies zu geschäftsspezifischen Problemen, etwa wenn ein Benutzer sich selbst Administratorrechte zuweist, anstatt eine Website lahmzulegen oder Unternehmensgeheimnisse zu stehlen. Angreifer müssen zudem eine Vorstellung von den Beziehungen zwischen den Objekten und der Geschäftslogik der Anwendung haben, die sie angreifen.

Dennoch ist die Mass-Assignment-Schwachstelle in den Händen eines cleveren und böswilligen Benutzers nicht weniger gefährlich.

Bevor wir mit dem vollständigen Leitfaden beginnen, probieren Sie unsere spielerische Herausforderung aus und sehen Sie, wie Sie abschneiden:

Wie können Angreifer die Mass-Assignment-Schwachstelle ausnutzen?

Das von OWASP vorgestellte (und von uns leicht modifizierte) Szenario geht von einer Mitfahr-App aus, bei der verschiedene Eigenschaften mittels Mass Assignment an Objekte im Code gebunden sind. Dazu gehören berechtigungsbezogene Eigenschaften, die Benutzer ändern können, sowie prozessabhängige Eigenschaften, die nur intern von der Anwendung festgelegt werden sollten. Beide verwenden Mass Assignment, um Eigenschaften an Objekte zu binden.

In diesem Szenario ermöglicht die Mitfahr-App Benutzern die Aktualisierung ihrer Profile, wie es bei vielen benutzerorientierten Anwendungen üblich ist. Dies erfolgt über einen API-Aufruf an PUT, der das folgende JSON-Objekt zurückgibt:

{"user_name":"SneakySnake", "age":17, "is_admin":false}

Da der Angreifer, in diesem Fall Mr. SneakySnake, die Beziehung zwischen den Eigenschaften und den Objekten durchschaut hat, kann er seine ursprüngliche Anfrage zur Aktualisierung seines Profils mit der folgenden Zeichenfolge erneut senden:

{"user_name":"SneakySnake","age":24,, "is_admin":true}

Da der Endpunkt anfällig für Mass Assignment ist, akzeptiert er die neue Eingabe als gültig. Unser Hacker hat nicht nur sein Alter im Profil angepasst, sondern sich auch selbst Administratorrechte zugewiesen.

Die Beseitigung der Mass-Assignment-Schwachstelle

So bequem die Verwendung der Mass-Assignment-Funktion in manchen Frameworks auch sein mag, sollten Sie darauf verzichten, wenn Sie Ihre APIs sicher halten wollen. Analysieren Sie stattdessen die Werte der Anfrage, anstatt sie direkt an ein Objekt zu binden. Sie können auch ein reduziertes Datentransferobjekt verwenden, das fast denselben Komfort bietet wie die direkte Bindung an das Objekt, jedoch ohne das damit verbundene Risiko.

Als zusätzliche Vorsichtsmaßnahme könnten sensible Eigenschaften wie Administratorrechte aus dem obigen Beispiel gesperrt werden, sodass sie bei einem API-Aufruf vom Server niemals akzeptiert werden. Noch besser ist es, standardmäßig alle Eigenschaften zu sperren und nur spezifische, nicht sensible Eigenschaften zuzulassen, die Benutzer ändern dürfen. All dies trägt dazu bei, APIs abzusichern und die Mass-Assignment-Schwachstelle in Ihrer Umgebung zu eliminieren.

Besuchen Sie die Secure Code Warrior-Blogseiten für weitere Einblicke in diese Schwachstelle und erfahren Sie, wie Sie Ihr Unternehmen und Ihre Kunden vor den Auswirkungen anderer Sicherheitslücken schützen können. Sie können auch eine Demo der Secure Code Warrior-Schulungsplattform ausprobieren, um Ihre Cybersicherheitskenntnisse stets auf dem neuesten Stand zu halten.