잘못된 세션에 의한 데이터 정보노출 - KISA 소프트웨어 개발 보안 가이드

https://www.kisa.or.kr/public/laws/laws3.jsp

기술안내서 가이드 < 관련법령·기술안내서 < 자료실 : 한국인터넷진흥원

구현 단계 시큐어코딩 가이드 - 캡슐화 - 잘못된 세션에 의한 데이터 정보 노출

가. 개요

• 다중 스레드 환경에서는 싱글톤(Singleton)^[각주:1] 객체 필드에 경쟁조건(Race Condition)이 발생할 수 있다. 따라서, 다중 스레드 환경인 Java의 서블릿(Servlet) 등에서는 정보를 저장하는 멤버 변수가 포함되지 않도록 하여, 서로 다른 세션에서 데이터를 공유하지 않도록 해야 한다

나. 보안대책

• 싱글톤 패턴을 사용하는 경우, 변수 범위(Scope)에 주의를 기울여야 한다. 특히 Java에서는 HttpServlet 클래스의 하위 클래스에서 멤버 필드를 선언하지 않도록 하고, 필요한 경우 지역 변수를 선언하여 사용한다

다. 코드 예제

JAVA

JSP 선언부(<%! 소스코드 %>)에 선언한 변수는 해당 JSP에 접근하는 모든 사용자에게 공유된다. 먼저 호출한 사용자가 값을 설정하고 사용하기 전에 다른 사용자의 호출이 발생하게 되면, 뒤에 호출 한 사용자가 설정한 값이 모든 사용자에게 적용되게 된다

JSP의 서블릿(<% 소스코드 %>)에 정의한 변수는 _jspService 메소드의 지역변수로 선언되므로 공유가 발생하지 않아 안전하다.

Controller에 멤버 변수를 사용하면 공유가 발생하여 동기화 오류가 발생할 수 있다.

Controller에 멤버 변수를 사용하지 않고 지역 변수로 사용한다.

 

C#

다중 스레드 환경에서 IHttpHandler 클래스에 정보를 저장하는 필드가 포함되서는 안 된다.

해당 내용을 지역 변수나 세션 변수를 이용하여 처리하여야 한다.

---

참고자료

• CWE-488 Exposure of Data Element to Wrong Session, MITRE,
  http://cwe.mitre.org/data/definitions/488.html
• CWE-543 Use of Singleton Pattern Without Synchronization in a Mulitithreaded Context, MITRE,
  http://cwe.mitre.org/data/definitions/543.html
• Do not let session information leak within a servlet, CERT,
  http://www.securecoding.cert.org/confluence/display/java/MSC11-J.+Do+not+let+session+information+leak+within+a+servlet

1. 싱글톤 패턴 : GOF 32가지 패턴 중 하나. 하나의 프로그램 내에서 하나의 인스턴스만을 생성해야만 하는 패턴. Connection Pool, Thread Pool과 같이 Pool 형태로 관리되는 클래스의 경우 프로그램 내에서 단 하나의 인스턴트로 관리해야 하는 경우를 말함. java에서는 객체로 제공됨 [본문으로]