LDAP y otras consultas armadas con texto

Cuando una aplicación busca personas en el directorio, le envía al servidor un filtro: una expresión que combina condiciones sobre atributos. Esa expresión se analiza antes de buscar, igual que una consulta de base de datos, y tiene caracteres que significan algo —delimitar una condición, combinar varias, comparar de forma aproximada—.

Si la aplicación construye el filtro pegando el texto de la caja de búsqueda, lo que la persona escriba puede cambiar la estructura de la expresión en vez de limitarse a ser el valor buscado. El resultado habitual no es un error visible para quien busca, sino una búsqueda que devuelve lo que no debía o un filtro que el servidor rechaza. MITRE lo cataloga como CWE-90.

Las tres pantallas consultan el mismo directorio y cada una arma su filtro de una forma. Una deja que la biblioteca prepare el dato antes de insertarlo, otra manda el dato como valor de un filtro fijo, y la tercera une texto. Lee la columna que lo dice.

El registro del servidor de directorio es la evidencia que confirma la lectura del código, y casi nunca se pide en un encargo. Cuando el servidor no entiende la expresión que recibe, lo anota: una condición que no cierra, una condición de más. Quien busca a un compañero por su apellido no produce esos errores nunca.

Cuenta cuántas entradas del periodo terminaron en error de filtro.

El alcance de este hallazgo lo marca la cuenta con la que la aplicación consulta el directorio. Una cuenta que solo lee los atributos públicos de las personas limita el daño a ver de más dentro de esa rama; una cuenta que escribe en todo el árbol convierte el mismo fallo en otra cosa, y así hay que escribirlo.

La corrección es la del módulo entero, con el nombre que le da cada tecnología: usar la interfaz que la biblioteca de directorio ofrece para insertar un valor en un filtro, que se encarga de que ese valor no pueda cambiar la estructura. Y por separado, bajar los permisos de la cuenta de servicio a lo que la pantalla necesita, que es un hallazgo propio aunque el filtro se arregle mañana.

La misma causa aparece en otras consultas que se arman con texto y que conviene buscar en el mismo encargo: las expresiones de búsqueda sobre documentos XML, los filtros de las bases de datos que reciben documentos en lugar de tablas, y las cabeceras de un correo construidas con lo que escribió alguien en un formulario de contacto. Cambia el intérprete, no la causa.