Race Conditions und TOCTOU (CWE-362, CWE-367): Wie parallele Requests Prüfungen aushebeln und wie man das behebt

Kernkonzepte & Begriffe

TOCTOU (Time-of-check to time-of-use)

Der geprüfte Zustand kann sich ändern, bevor er verwendet wird. In Web-Code ist die Prüfung meist ein SELECT und die Verwendung ein späteres UPDATE, dazwischen laufen andere Requests.

Race-Fenster und parallele Requests

Das Fenster umfasst oft nur wenige Millisekunden, doch Angreifer können Dutzende Requests so ausrichten, dass sie gleichzeitig ankommen. PortSwiggers Forschung von 2023 zeigte, dass das Senden der letzten Bytes vieler HTTP/2-Requests in einem Paket sie innerhalb von etwa einer Millisekunde eintreffen lässt.

Atomares bedingtes Update

UPDATE ... WHERE code = %s AND NOT redeemed RETURNING ... prüft und ändert die Zeile in einer Anweisung. Nur ein Aufrufer bekommt eine Zeile zurück, die anderen keine.

Zeilensperren unter Read Committed

In PostgreSQL wartet ein zweites UPDATE auf dieselbe Zeile auf die erste Transaktion und wertet seine WHERE-Klausel dann gegen die bestätigte Zeile neu aus. Diese erneute Prüfung macht das bedingte Update sicher, ohne die Isolationsstufe anzuheben.

Constraints und Idempotenzschlüssel

UNIQUE-Indizes und CHECK (balance_cents >= 0) lassen ein verlorenes Rennen laut scheitern, statt doppelt auszugeben. Ein unter einem eindeutigen Index gespeicherter Idempotency-Key erlaubt Clients, Zahlungen zu wiederholen, ohne sie doppelt auszuführen.

Schritt-für-Schritt Angriffsablauf

Quellcode: Verwundbar vs. Sicher

# gift_cards.py: Prüfung und Verwendung sind getrennte Anweisungen
from .db import pool


# jeder parallele Request kann redeemed = false sehen, bevor einer schreibt
def redeem_gift_card(user_id: int, code: str) -> int:
    with pool.connection() as conn:
        card = conn.execute("SELECT id, balance_cents, redeemed FROM gift_cards WHERE code = %s", (code,)).fetchone()
        if card is None or card[2]:
            raise ValueError("invalid or used card")
        conn.execute("UPDATE accounts SET balance_cents = balance_cents + %s WHERE user_id = %s", (card[1], user_id))
        conn.execute("UPDATE gift_cards SET redeemed = true WHERE id = %s", (card[0],))
        return card[1]

# gift_cards.py: Prüfung und Verwendung in einer Anweisung
from .db import pool


# nur ein Aufrufer bekommt eine Zeile; die anderen warten auf die Sperre und scheitern an NOT redeemed
def redeem_gift_card(user_id: int, code: str) -> int:
    with pool.connection() as conn, conn.transaction():
        card = conn.execute(
            "UPDATE gift_cards SET redeemed = true, redeemed_by = %s, redeemed_at = now() "
            "WHERE code = %s AND NOT redeemed RETURNING balance_cents",
            (user_id, code),
        ).fetchone()
        if card is None:
            raise ValueError("invalid or used card")
        # Gutschrift in derselben Transaktion, beide Änderungen gelten gemeinsam oder gar nicht
        conn.execute("UPDATE accounts SET balance_cents = balance_cents + %s WHERE user_id = %s", (card[0], user_id))
        return card[0]

Checkliste für Engineering & Systemsicherheit

• Lese-Prüf-Schreib-Abfolgen bei Geld, Lagerbestand, Gutscheinen und Kontingenten durch ein einziges bedingtes UPDATE ... WHERE ... RETURNING oder durch SELECT ... FOR UPDATE in einer Transaktion ersetzen.
• Einmalige Aktionen mit Datenbank-Constraints absichern (UNIQUE, CHECK (balance_cents >= 0)), damit ein verlorenes Rennen scheitert, statt zweimal zu gelingen.
• An Zahlungs- und Einlöse-Endpunkten einen Idempotency-Key annehmen und unter einem eindeutigen Index speichern.
• Sich nicht auf prozessinterne Sperren oder Flags verlassen, wenn mehr als ein Worker oder Server Requests bearbeitet.
• Einen Nebenläufigkeitstest ergänzen, der 20 parallele Einlösungen einer Testkarte abfeuert und prüft, dass genau eine gelingt.

Quellen

• CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition
• PostgreSQL docs — Read Committed isolation level
• PortSwigger Research — Smashing the state machine (2023)
• Sakurity — Hacking Starbucks for unlimited coffee (2015)