gofr BasicAuth 빈 자격 증명 설정 결함으로 인한 원격 인증 우회
이 취약점은 app.EnableBasicAuth 함수가 빈 문자열 인자를 처리할 때 유효성 검사를 하지 않는 데서 비롯됩니다. 사용자 이름이나 비밀번호가 올바르게 설정되지 않은 경우에도 시스템은 빈 자격 증명 레코드를 등록하고 nil을 반환하므로, 공격자는 Base64로 인코딩된 콜론을 담은 Basic Auth 헤더를 보내는 것만으로 인증을 통과할 수 있습니다. 이를 통해 접근 제어를 우회해 보호된 리소스에 직접 접근할 수 있어 기밀성과 무결성에 심각한 유출 위험이 발생합니다.
컴포넌트
gofr는 Go 언어로 구축된 고성능 마이크로서비스 프레임워크로, RESTful API 개발 과정을 단순화하고 표준화된 애플리케이션 아키텍처를 제공하는 것을 목표로 합니다. 핵심 구성 요소로 HTTP 서버, 미들웨어 체인, 설정 관리 시스템을 포함하며 의존성 주입과 모듈식 설계를 지원합니다. 주로 확장 가능한 백엔드 서비스를 빠르게 구축하는 데 사용되며, 내장된 인증 미들웨어로 인터페이스 접근의 보안을 보장합니다.
유형
Improper Authentication (CWE-287)
저장소
github.com/gofr-dev/gofr
· Star 20844
대응 방안
- 개발자는 기본 인증 로직을 구현할 때 입력 매개변수가 비어 있지 않은지 엄격히 검증하고, 사용자 이름이나 비밀번호가 비어 있으면 즉시 인가 절차를 중단하고 명확한 오류를 발생시키는 것이 좋습니다. 또한 경계 조건에 대한 단위 테스트 커버리지를 보강해 잘못된 설정이 조용히 기능 저하로 이어지지 않고 예상대로 보안 차단을 유발하도록 해야 합니다.
