[論文レビュー] Automated Black-box Testing of Mass Assignment Vulnerabilities in RESTful APIs

Davide Corradini, Michele Pasqua+1 more|arXiv (Cornell University)|Jan 3, 2023

Web Application Security Vulnerabilities被引用数 4

ひとこと要約

本稿では、OpenAPI仕様のみを用いてRESTful APIにおける大量代入脆弱性を自動で検出する、新しいブラックボックステスト手法を提示する。類似した操作をクラスタリングし、読み取り専用フィールドを特定することで、抽象テンプレートを用いてターゲットとなるテストケースを生成し、セキュリティオラクルで検証する。種まきされた脆弱性を100％検出でき、誤検出なしに実現した。

ABSTRACT

Mass assignment is one of the most prominent vulnerabilities in RESTful APIs. This vulnerability originates from a misconfiguration in common web frameworks, such that naming convention and automatic binding can be exploited by an attacker to craft malicious requests writing confidential resources and (massively) overriding data, that should be read-only and/or confidential. In this paper, we adopt a black-box testing perspective to automatically detect mass assignment vulnerabilities in RESTful APIs. Execution scenarios are generated purely based on the OpenAPI specification, that lists the available operations and their message format. Clustering is used to group similar operations and reveal read-only fields, the latter are candidate for mass assignment. Then, interaction sequences are automatically generated by instantiating abstract testing templates, trying to exploit the potential vulnerabilities. Finally, test cases are run, and their execution is assessed by a specific oracle, in order to reveal whether the vulnerability could be successfully exploited. The proposed novel approach has been implemented and evaluated on a set of case studies written in different programming languages. The evaluation highlights that the approach is quite effective in detecting seeded vulnerabilities, with a remarkably high accuracy.

研究の動機と目的

• RESTful APIにおける大量代入脆弱性という深刻なセキュリティリスクに対処すること。これは、誤った設定がなされたWebフレームワークに起因する。
• ソースコードへのアクセスやフレームワーク固有の知識を必要としない、自動化されたブラックボックステスト手法を開発すること。
• OpenAPI仕様を分析することで、大量代入攻撃の対象となる可能性がある読み取り専用フィールドを特定すること。
• 高い精度で潜在的な大量代入攻撃を標的とするテストケースを生成・実行すること。
• 実世界のシナリオにおいて有効性と正確性を検証するため、多様な事例研究を用いてアプローチを評価すること。

提案手法

• OpenAPI仕様内の操作に対してクラスタリングを適用し、同じデータリソースを操作する可能性の高い操作をグループ化する。
• ヒューリスティクスを用いて、操作間で一貫して存在するが、書き込み操作に存在しないフィールドを、API設計上読み取り専用であると特定する。
• 抽象テストテンプレートをインスタンス化して、悪意ある入力を介して読み取り専用フィールドを上書きしようとする具体的なテストケースを生成する。
• APIの応答を監視するカスタムセキュリティオラクルを用いて、書き込み操作が読み取り専用フィールドを正しく変更したかどうかを検出する。
• 種まきされた脆弱性を用いた検証のために、複数のプログラミング言語とフレームワークを対象とした事例研究で、アプローチを実装および評価する。
• RestTestGenと統合することで、拡張性とテスト生成のためのモジュラーなアーキテクチャを活用する。

実験結果

リサーチクエスチョン

• RQ1 ソースコードへのアクセスなしに、自動ブラックボックステストがRESTful APIにおける大量代入脆弱性を効果的に検出できるか？
• RQ2 クラスタリングとヒューリスティクスを用いた場合、OpenAPI仕様から読み取り専用フィールドをどれほど正確に特定できるか？
• RQ3 抽象テストテンプレートを適切にインスタンス化することで、大量代入攻撃を標的にした意味のあるテストケースを生成できるか？
• RQ4 本手法は、実世界の事例研究における既知の大量代入脆弱性を検出する際に、正確性と再現性の両方をどれほど達成できるか？
• RQ5 本手法は、異なるプログラミング言語やWebフレームワークに一般化可能か？

主な発見

• 評価された事例研究において、種まきされたすべての大量代入脆弱性が、誤検出なしに正常に検出された。
• 100％の検出正確性を達成し、攻撃可能なフィールドを特定するうえで高い信頼性を示した。
• クラスタリングとヒューリスティクスの活用により、OpenAPI仕様のみに依存して読み取り専用フィールドを正確に特定できた。
• 本手法は複数のプログラミング言語とWebフレームワークにわたり有効であり、広範な適用可能性を示した。
• セキュリティオラクルは、すべての成功した大量代入攻撃を正しく特定した。これにより、検出メカニズムの信頼性が裏付けられた。
• 評価により、本手法がREST APIにおける大量代入脆弱性を検出する、完全に自動化されたブラックボックス手法として初めてのものであることが確認された。