V5.1.2 Input Validation

Requirement:#

Verify that frameworks protect against mass parameter assignment attacks, or that the application has countermeasures to protect against unsafe parameter assignment, such as marking fields private or similar. (C5)

Explanation:#

Если объект содержит атрибуты, предназначенные только для внутреннего использования, то их непредвиденная модификация может привести к уязвимости. Эта слабость иногда известна благодаря специфичным для языка механизмам, которые делают ее возможной, например массовое присваивание, автоматическое связывание или внедрение объектов.

HTTP parameter pollution - проверяет реакцию приложений на получение нескольких параметров HTTP с одним и тем же именем. Например, если при наличии нескольких вхождений одного и того же параметра HTTP (http://example.com/?color=red&color=blue)

POST /index.php?a=1&a=2 HTTP/1.1
Host: example.com
Content-Type: text/plain
Content-Length: 7
Cookie: a=3;a=4
Connection: close
 
a=5&a=6 

Remediation:#

Атаки с массовым назначением параметров, также известные как атаки с массовым назначением, происходят, когда злоумышленник может манипулировать HTTP-запросами для передачи опасных данных в приложение. Это может привести к уязвимостям в системе безопасности, таким как изменение роли пользователя на роль администратора или изменение цены продукта в приложении электронной коммерции. Для защиты от этих атак рекомендуется реализовать надлежащую проверку данных и использовать платформы, которые по умолчанию обеспечивают защиту от массового назначения. Вот несколько примеров. В Ruby on Rails атрибуты модели по умолчанию защищены, что означает, что их нельзя изменить непосредственно из параметров запроса. Это помогает предотвратить атаки с массовым назначением. Чтобы сделать атрибут доступным, вы можете использовать в модели метод attr_accessible. Например:

class User < ActiveRecord::Base
  attr_accessible :username, :email
end

В Django поля модели также защищены по умолчанию, но вы можете сделать их доступными, используя редактируемый параметр в определении поля. Например:

from django.db import models

class User(models.Model):
    username = models.CharField(max_length=30, editable=False)
    email = models.EmailField(max_length=254)

В ASP.NET MVC вы можете использовать атрибут Bind, чтобы указать, какие свойства в вашей модели должны быть разрешены для привязки из параметров запроса. Например:

public class User {
    [BindNever]
    public int Id { get; set; }

    [Required]
    public string Name { get; set; }

    [Required]
    [EmailAddress]
    public string Email { get; set; }
}

Additional:#

https://cwe.mitre.org/data/definitions/915.html