V5.1.1 Input Validation

Requirement:

Verify that the application has defenses against HTTP parameter pollution attacks, particularly if the application framework makes no distinction about the source of request parameters (GET, POST, cookies, headers, or environment variables).

Explanation:

Программное обеспечение не обрабатывает или обрабатывает неправильно, когда количество параметров, полей или аргументов с одинаковыми именами превышает ожидаемое количество. 

Приложение должно отбрасывать всю потенциально опасную информацию, полученную через ввод данных.

Remediation:

HTTP parameter pollution attacks (HPP) — это тип атаки, который включает в себя внедрение закодированных вредоносных данных в параметры HTTP-запроса с целью изменения предполагаемого поведения приложения. Чтобы предотвратить атаки HPP, можно следовать следующим рекомендациям:

• Проверка входных данных. Убедитесь, что все входные данные проверены и очищены, особенно если данные поступают из ненадежных источников, таких как данные, предоставленные пользователями. Этого можно добиться, используя такие функции, как filter_input() или filter_var() в PHP, или библиотеки проверки ввода, такие как validictory в Python.
• Использование методов, специфичных для параметра: по возможности используйте специальные методы запроса (например, $_GET, $_POST) вместо универсального метода, такого как $_REQUEST, который берет данные из всех источников, включая GET, POST, файлы cookie, заголовки и переменные среды. . Это упрощает идентификацию и очистку входных данных.
• Внесение в белый список: вместо того, чтобы заносить в черный список известные векторы атак, рассмотрите возможность внесения в белый список известных, приемлемых входных данных. Это помогает гарантировать, что обрабатываются только ожидаемые входные данные, что снижает риск атаки.
• Кодирование и экранирование. Используйте соответствующие функции кодирования и экранирования, чтобы специальные символы во входных данных не интерпретировались приложением как управляющие символы. Например, в PHP используйте htmlentities() или htmlspecialchars() для кодирования специальных символов в выводе HTML. 

Вот пример кода на PHP, который реализует некоторые из этих лучших практик:

// Example input validation

$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);

if ($id === false) {

// Invalid input - throw an error or redirect

}

// Example encoding and escaping

echo '<a href="view.php?id=' . urlencode($id) . '">View</a>';

Важно иметь в виду, что HPP-атаки могут принимать разные формы, и нет единого решения, которое будет работать во всех случаях. Конкретные средства защиты, которые необходимы, будут зависеть от архитектуры и реализации приложения, поэтому всегда полезно провести тщательный анализ безопасности и тестирование на проникновение для выявления и устранения потенциальных уязвимостей.

Additional:

https://cwe.mitre.org/data/definitions/235.html