flawopen.com/SSTI/Jinja2

Jinja2 render_template_string()은 안전한가요?

# All four are the same bug
render_template_string(f"Hi {name}")
render_template_string("Hi " + name)
render_template_string("Hi %s" % name)
render_template_string("Hi {}".format(name))

# A very common real-world shape:
@app.errorhandler(404)
def not_found(e):
    return render_template_string(
        f"<h1>No such page: "
        f"{request.path}</h1>"
    ), 404
# The URL path is attacker-controlled.

# Template is a literal; the user value
# arrives as a named context variable
render_template_string(
    "Hi {{ name }}", name=name
)

# Better still, a real template file
render_template("greeting.html",
                name=name)

# For the 404 case, no template
# evaluation is needed at all:
return render_template("404.html",
                       path=request.path), 404

공격자가 템플릿 소스를 제어할 때의 위험

Flask는 기본적으로 config, request, session 같은 애플리케이션 전역 객체를 템플릿에 제공합니다. 공격자가 템플릿 소스를 제어하면 Jinja는 해당 환경에서 접근 가능한 객체를 사용해 표현식을 평가합니다. 영향은 애플리케이션이 노출한 객체와 기능에 따라 달라집니다. 무해한 산술 표현식은 평가 여부를 확인할 수 있지만, 그 자체로 코드 실행이나 접근 가능한 데이터를 입증하지는 않습니다.

애플리케이션이 민감한 값을 컨텍스트에 넣었다면 템플릿에서 노출될 수 있습니다. 예를 들어 Flask의 config에는 SECRET_KEY나 데이터베이스 설정이 있을 수 있지만 배포마다 다릅니다. 템플릿에 보이는 데이터에 비밀값을 넣지 말고 출력 이스케이프를 템플릿 평가의 방어 경계로 여기지 마세요.

CVE-2024-56201은 별개의 사례입니다

이 문제는 일반적인 SSTI와 별개인 Jinja 컴파일러 취약점이며 일반 SSTI의 전제 조건은 아닙니다. CVE-2024-56201은 공격자가 템플릿 내용과 이름을 모두 제어할 수 있을 때 Jinja 3.0.0~3.1.4에 영향을 줍니다. 이 조건에서는 샌드박스를 사용하더라도 임의의 Python 코드 실행이 가능했습니다. Jinja 3.1.5에서 수정되었습니다. 앱이 공격자 제공 템플릿이나 이름을 받는다면 권고문을 확인하고 업그레이드하세요.

주로 나타나는 위치

요청 경로를 출력하는 오류 페이지, 이메일 템플릿 관리 기능, 테넌트별 사용자 지정 기능, 공개해서는 안 되는 미리보기나 디버그 엔드포인트에서 이런 패턴이 나타날 수 있습니다.

자주 묻는 질문

참고 자료

• Flask 문서 — render_template_string
• Jinja 문서 — 샌드박스
• Jinja 보안 권고 — CVE-2024-56201
• CWE-1336 — 서버 측 템플릿 인젝션
• 서버 측 템플릿 인젝션이란?