Coders Conquer Security OWASP API 보안 10대 시리즈 - 대량 할당(Mass Assignment)

대량 할당 취약점은 많은 최신 프레임워크가 코드 간소화와 작업 속도 향상을 위해 클라이언트의 입력값을 코드 변수나 내부 객체에 자동으로 바인딩하는 기능을 사용하도록 권장하면서 발생하게 되었습니다.

공격자는 이러한 방식을 악용하여 클라이언트가 수정해서는 안 되는 객체 속성을 강제로 변경할 수 있습니다. 일반적으로 이는 웹사이트를 마비시키거나 기업 기밀을 탈취하는 것과는 달리, 사용자가 스스로 관리자 권한을 부여하는 등 비즈니스 로직과 관련된 문제를 일으킵니다. 공격자는 공격 대상 애플리케이션의 객체 간 관계와 비즈니스 로직을 어느 정도 파악하고 있어야 합니다.

하지만 그렇다고 해서 대량 할당 취약점이 영리하고 악의적인 사용자에게 덜 위험한 것은 아닙니다.

본격적인 가이드를 시작하기 전에, 게임화된 챌린지를 통해 실력을 확인해 보세요.

공격자는 어떻게 대량 할당 취약점을 악용할 수 있을까요?

OWASP에서 제시하고 저희가 일부 수정한 시나리오에서는 대량 할당을 사용하여 객체에 다양한 속성이 바인딩된 차량 공유 애플리케이션을 가정합니다. 여기에는 사용자가 변경할 수 있는 권한 관련 속성과 애플리케이션 내부에서만 설정되어야 하는 프로세스 의존적 속성이 포함됩니다. 두 경우 모두 대량 할당을 사용하여 속성을 객체에 바인딩합니다.

이 시나리오에서 차량 공유 애플리케이션은 사용자 대면 애플리케이션에서 흔히 볼 수 있듯이 사용자가 자신의 프로필을 업데이트할 수 있도록 허용합니다. 이는 PUT API 호출을 통해 이루어지며, 다음과 같은 JSON 객체를 반환합니다.

{"user_name":"SneakySnake", "age":17, "is_admin":false}

공격자인 SneakySnake는 속성과 객체 간의 관계를 파악했기 때문에, 자신의 프로필을 업데이트하기 위해 원래 요청을 다음과 같은 문자열로 다시 보낼 수 있습니다.

{"user_name":"SneakySnake","age":24,, "is_admin":true}

해당 엔드포인트가 대량 할당에 취약하기 때문에, 서버는 새로운 입력값을 유효한 것으로 받아들입니다. 공격자는 프로필의 나이를 수정했을 뿐만 아니라 스스로 관리자 권한까지 부여했습니다.

대량 할당 취약점 제거하기

일부 프레임워크에서 대량 할당 기능을 사용하는 것이 편리할 수는 있지만, API 보안을 유지하려면 이를 피해야 합니다. 대신 값을 객체에 직접 바인딩하지 말고 요청 값을 파싱하여 사용하세요. 또한, 객체에 직접 바인딩하는 것과 거의 동일한 편의성을 제공하면서도 관련 위험은 없는 축소된 데이터 전송 객체(DTO)를 사용할 수도 있습니다.

추가적인 예방 조치로, 위 예시의 관리자 권한과 같은 민감한 속성은 API 호출 시 서버에서 절대 허용되지 않도록 차단할 수 있습니다. 더 나은 방법은 기본적으로 모든 속성을 차단한 뒤, 사용자가 업데이트하거나 변경할 수 있도록 허용하려는 비민감 속성만 선택적으로 허용하는 것입니다. 이러한 조치를 통해 API를 보호하고 환경에서 대량 할당 취약점을 제거할 수 있습니다.

이 취약점에 대한 더 자세한 정보와 조직 및 고객을 다양한 보안 위협으로부터 보호하는 방법은 Secure Code Warrior 블로그에서 확인하실 수 있습니다. 또한 데모를 체험하여 사이버 보안 기술을 지속적으로 연마하고 최신 상태로 유지해 보세요.