cwe - 1321:控制不当修改对象原型属性(“原型污染”)
 描述
产品从一个上游组件接收输入指定属性初始化或更新一个对象,但它不适当控制对象原型的属性的修改。
扩展描述
通过添加或修改属性对象的原型,可以创建属性,存在于每一个物体,或替换用恶意的关键属性。这可能会产生问题,如果产品取决于是否存在特定的属性,或使用预定义的对象原型的属性(如hasOwnProperty toString或返回对象的值)。
这个弱点通常是利用通过使用一个特殊的属性的对象称为原型,构造函数或原型。这样的属性给访问对象的原型。这个缺点是经常发现在分配对象属性基于用户输入的代码,或合并或克隆对象递归。
的关系
模式的介绍
 不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
完整性
|
攻击者可以注入属性用于其他组件。 |
高 |
可用性
|
攻击者可以覆盖现有的属性与那些不兼容的类型,这可能会导致崩溃。 |
高 |
示范例子
示例1
这个函数设置对象属性基于以圆点分隔路径。
函数setValueByPath(对象、路径值){
const pathArray = path.split (“。”); const attributeToSet = pathArray.pop (); 让objectToModify =对象; (const attr pathArray) {
如果(typeof objectToModify [attr] ! = = '对象'){
objectToModify [attr] = {};
}
objectToModify = objectToModify [attr); } objectToModify [attributeToSet] =价值; 返回对象; }
这个函数不检查属性解析为对象的原型。这些代码可以用来添加“isAdmin:真”对象的原型。
__proto__ setValueByPath ({}。”isAdmin”,真的)
constructor.prototype setValueByPath ({}。”isAdmin”,真的)
通过使用denylist危险的属性,这个弱点可以被消除。
函数setValueByPath(对象、路径值){
const pathArray = path.split (“。”); const attributeToSet = pathArray.pop (); 让objectToModify =对象; (const attr pathArray) {
/ /忽略属性对象原型的决心
如果“__proto__”(attr = = = | | attr = = =“构造”| | attr = = =“原型”){
继续;
}
如果(typeof objectToModify [attr] ! = =“对象”){
objectToModify [attr] = {};
}
objectToModify = objectToModify [attr); }
objectToModify [attributeToSet] =价值; 返回对象; }
观察到的例子
| 参考 |
描述 |
|
|
原型污染通过合并对象。 |
|
|
原型递归地污染通过设置默认值对象属性。 |
|
|
原型污染通过合并对象递归。 |
|
|
基于原型污染通过设置对象属性以圆点分隔路径。 |
潜在的缓解措施
实施阶段:
首先通过冻结对象原型(例如,Object.freeze (Object.prototype)),修改原型成为不可能。
注意:虽然这完全可以减轻这一弱点,其他方法建议在可能的情况下,特别是在上游组件所使用的软件(“库”)。 |
阶段:体系结构和设计
通过阻断修改解决对象原型的属性,如原型或原型,可以减轻这一弱点。
|
实施阶段:
在处理不受信任的对象,可以使用使用模式验证。
|
实施阶段:
通过使用一个对象没有原型(通过Object.create (null)),添加对象原型属性通过访问原型通过特殊的属性成为可能,减轻这一弱点。
|
实施阶段:
地图在大多数情况下可以使用,而不是对象。如果用来代替对象属性映射方法,不可能访问对象原型或修改它。
|
引用
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
简化映射的相关视图”缺点漏洞发布”(cwe - 1003)
