funzioni pubbliche diventano accessibili in remoto in sede di attuazione onCFCRequest()

Question

alcuni retroscena:

sto usando onCFCRequest() per gestire a distanza CFC chiama separatamente dai normali richieste di pagine CFM. Questo mi consente di rilevare errori e impostare i tipi MIME in modo pulito per tutte le richieste remote.

IL PROBLEMA:

ho impostato accidentalmente alcune delle mie funzioni CFC remoti di public l'accesso al posto di remote e si rese conto che stavano ancora lavorando quando viene chiamato da remoto.

Come potete vedere qui sotto, la mia implementazione di onCFCRequest() ha creato un grosso problema di sicurezza in tutta la mia applicazione, dove una richiesta HTTP potrebbe essere utilizzata per richiamare qualsiasi metodo public su qualsiasi CFC HTTP-accessibili.

REPRO CODICE:

In Application.cfc:

public any function onCFCRequest(string cfc, string method, struct args){ 
     cfc = createObject('component', cfc); 
     return evaluate('cfc.#method#(argumentCollection=args)'); 
    } 

In una CFC chiamata remoto:

public any function publicFunction(){ 
     return 'Public function called remotely!'; 
    } 

DOMANDA:

So che potrei controllare i meta data per il componente prima di invocare il metodo per verificare che consenta l'accesso remoto, ma ci sono altri modi in cui potrei affrontare questo problema?

Answer 1

onCfcRequest() in realtà non creare il buco di sicurezza, si crea il buco di sicurezza eseguendo ciecamente il metodo senza controllare per vedere se è opportuno farlo prima, temo ;-)

(NB: mi sono innamorato della stessa identica cosa, quindi non sto provando tu stesso ;-)

Quindi - si - tu do devi controllare i metadati prima di eseguire il metodo. Tale controllo è una delle cose che CF ti restituisce per gestire al suo posto quando si utilizza questo gestore ed è stato esplicitamente implementato come tale (vedere 3039293).

Ho scritto una descrizione del problema e la soluzione sul mio blog. Come osservato in un commento qui sotto, utilizzo del codice - invoke() - che funzionerà solo su CF10 +, ma la tecnica generale rimane la stessa.