🛡️ Sentinel: [CRITICAL] 비ASCII API 키를 통한 hmac.compare_digest DoS 취약점 수정

.jules/sentinel.md

@@ -60,3 +60,8 @@
 **Vulnerability:** Path traversal in `media_shrinker.py` via unresolved `..` segments or symlink escapes before deriving conversion output paths.
 **Learning:** `Path.relative_to()` is only a lexical containment check unless both the source and root have first been resolved into canonical absolute paths. Relative paths and symlinks can otherwise bypass root-boundary assumptions.
 **Prevention:** Resolve both source and root once, reject sources outside the resolved root with a sanitized `MediaShrinkerError`, and derive `rel_source` from the resolved paths before planning outputs.
+
+## 2024-08-10 - hmac.compare_digest의 비ASCII 문자 처리 취약점 수정
+**취약점:** `saas_web.py`의 `require_api_key` 미들웨어에서 API 키 확인 시 `hmac.compare_digest`에 비ASCII 문자열(예: 이모지나 특수문자가 포함된 악성 헤더)을 전달할 경우 `TypeError`가 발생하여 500 서버 에러(DoS 공격 위험)가 발생하는 취약점을 발견했습니다.
+**학습:** `hmac.compare_digest`는 Python 3에서 두 인자가 모두 문자열일 때 ASCII 문자만 허용합니다. 클라이언트(공격자)가 제어하는 입력값을 기반으로 서버 내부 함수가 예외를 발생시키면 어플리케이션 가용성이 저하될 수 있음을 확인했습니다.
+**예방:** `hmac.compare_digest`를 사용할 때는 비교 대상이 되는 모든 문자열을 명시적으로 바이트 형식(`.encode('utf-8')`)으로 인코딩한 후 비교하여, 비ASCII 문자로 인한 예외 발생을 미연에 방지해야 합니다.

saas_web.py

@@ -114,7 +114,7 @@ async def require_api_key(request: Request, call_next):
     if configured_keys and not (request.method == "GET" and request.url.path == "/"):
         provided_key = request.headers.get("x-api-key", "")
         if not any(
-            hmac.compare_digest(provided_key, key) for key in configured_keys
+            hmac.compare_digest(provided_key.encode("utf-8"), key.encode("utf-8")) for key in configured_keys
         ):
             return JSONResponse(
                 status_code=401,

tests/test_saas_web.py

@@ -2,6 +2,10 @@
 import io
 import json
 import os
+try:
+    import pytest
+except ImportError:
+    pytest = None
 import tempfile
 import unittest
 import zipfile
@@ -1124,5 +1128,29 @@ def test_video_content_type_accepted_by_validator(self):
         )
 
 
+class TestApiKeyNonAsciiHeader(unittest.IsolatedAsyncioTestCase):
+    async def test_api_key_non_ascii_header(self):
+        try:
+            import starlette.requests
+        except ImportError:
+            self.skipTest("starlette not installed")
+        from unittest.mock import patch, MagicMock
+        from saas_web import require_api_key
+
+        scope = {
+            'type': 'http',
+            'method': 'POST',
+            'path': '/shrink',
+            'headers': [(b'x-api-key', 'invalid-non-ascii-🔥'.encode('utf-8'))]
+        }
+        request = starlette.requests.Request(scope)
+        mock_call_next = MagicMock()
+
+        with patch('saas_web.get_configured_api_keys', return_value=['valid-key']):
+            response = await require_api_key(request, mock_call_next)
+            self.assertEqual(response.status_code, 401)
+            import json
+            self.assertEqual(json.loads(response.body), {"error": "Invalid or missing API key"})
+
 if __name__ == '__main__':
     unittest.main()