Condições de corrida e TOCTOU (CWE-362, CWE-367): como requisições paralelas furam verificações e como corrigir

Conceitos Centrais e Termos

TOCTOU (do momento da verificação ao momento do uso)

O estado verificado pode mudar antes de ser usado. Em código web, a verificação costuma ser um SELECT e o uso é um UPDATE posterior, com outras requisições rodando no meio.

Janela de corrida e requisições paralelas

A janela muitas vezes é de poucos milissegundos, mas atacantes conseguem alinhar dezenas de requisições para chegarem juntas. A pesquisa da PortSwigger de 2023 mostrou que enviar os últimos bytes de muitas requisições HTTP/2 num único pacote faz com que cheguem com cerca de um milissegundo de diferença.

Atualização condicional atômica

UPDATE ... WHERE code = %s AND NOT redeemed RETURNING ... verifica e altera a linha numa única instrução. Só um chamador recebe uma linha de volta; os outros não recebem nenhuma.

Bloqueios de linha em Read Committed

No PostgreSQL, um segundo UPDATE na mesma linha espera a primeira transação e depois reavalia a cláusula WHERE contra a linha já confirmada. Essa reverificação é o que torna a atualização condicional segura sem elevar o nível de isolamento.

Restrições e chaves de idempotência

Índices UNIQUE e CHECK (balance_cents >= 0) fazem uma corrida perdida falhar de forma visível em vez de gastar em dobro. Uma Idempotency-Key guardada sob um índice único permite que clientes repitam pagamentos sem duplicá-los.

Fluxo de Ataque Passo a Paso

Código-Fonte: Vulnerável vs. Seguro

# gift_cards.py: verificação e uso são instruções separadas
from .db import pool


# toda requisição paralela pode ver redeemed = false antes que qualquer uma grave
def redeem_gift_card(user_id: int, code: str) -> int:
    with pool.connection() as conn:
        card = conn.execute("SELECT id, balance_cents, redeemed FROM gift_cards WHERE code = %s", (code,)).fetchone()
        if card is None or card[2]:
            raise ValueError("invalid or used card")
        conn.execute("UPDATE accounts SET balance_cents = balance_cents + %s WHERE user_id = %s", (card[1], user_id))
        conn.execute("UPDATE gift_cards SET redeemed = true WHERE id = %s", (card[0],))
        return card[1]

# gift_cards.py: verificação e uso acontecem numa só instrução
from .db import pool


# só um chamador recebe uma linha; os demais esperam o lock e veem NOT redeemed falhar
def redeem_gift_card(user_id: int, code: str) -> int:
    with pool.connection() as conn, conn.transaction():
        card = conn.execute(
            "UPDATE gift_cards SET redeemed = true, redeemed_by = %s, redeemed_at = now() "
            "WHERE code = %s AND NOT redeemed RETURNING balance_cents",
            (user_id, code),
        ).fetchone()
        if card is None:
            raise ValueError("invalid or used card")
        # crédito na mesma transação, então as duas mudanças são confirmadas juntas ou nenhuma
        conn.execute("UPDATE accounts SET balance_cents = balance_cents + %s WHERE user_id = %s", (card[0], user_id))
        return card[0]

Lista de Verificação de Segurança para Engenharia

• Substitua sequências de ler, verificar e gravar sobre dinheiro, estoque, cupons e cotas por um único UPDATE ... WHERE ... RETURNING condicional, ou por SELECT ... FOR UPDATE dentro de uma transação.
• Proteja ações de uso único com restrições do banco (UNIQUE, CHECK (balance_cents >= 0)) para que uma corrida perdida falhe em vez de dar certo duas vezes.
• Aceite uma Idempotency-Key nos endpoints de pagamento e resgate e guarde-a sob um índice único.
• Não dependa de locks ou flags dentro do processo quando mais de um worker ou servidor atende as requisições.
• Adicione um teste de concorrência que dispare 20 resgates paralelos de um mesmo vale de teste e verifique que exatamente um funciona.

Fontes

• CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition
• PostgreSQL docs — Read Committed isolation level
• PortSwigger Research — Smashing the state machine (2023)
• Sakurity — Hacking Starbucks for unlimited coffee (2015)