제한된 디렉토리에 대한 경로 이름의 잘못된 제한 (Path Traversal)

설명

이 취약점은 URL 엔드포인트의 매개변수에 페이로드를 삽입하여 임의의 파일을 읽을 수 있게 함으로써 악용될 수 있습니다.

이것은 민감한 파일을 읽거나 다른 사용자의 데이터에 접근하거나, 더욱 시스템 접근을 얻기 위한 악용에 도움을 줄 수 있습니다.

수정 방법

사용자 입력은 파일 시스템과 상호작용을 위해 경로 또는 파일을 구성하는 데 절대 사용되어서는 안 됩니다. 여기에는 사용자 업로드 또는 다운로드에 의해 제공된 파일 이름이 포함됩니다.

가능하다면, 파일 이름을 해시하고 데이터베이스나 데이터 저장소에서 해시된 파일 이름을 참조하는 것을 고려하세요. 사용자가 제공한 파일 이름에 직접 접근하려고 시도하는 것보다 안전합니다.

애플리케이션이 드물게 파일 이름을 처리해야 하는 경우, 제공된 값에서 파일 이름 부분만 추출하는 언어 제공 기능을 사용하세요. 절대 사용자 입력에서 오는 경로 또는 디렉토리 정보를 사용하려고 시도하지 마세요.

세부사항

ID 집계 CWE 유형 위험
22.1 false 22 Active high

링크