Command Injection in Ruby

Learn how to fix Command Injection (CWE-78) in Ruby. Side-by-side vulnerable vs secure code examples for Open3.capture2() and system() array arguments.

💡 Einfache Erklärung (ELI5)

Stellen Sie sich vor, Sie bitten einen Assistenten, ein Dokument namens 'bericht.pdf' zu drucken. Eine Befehlsinjektion geschieht, wenn jemand den Dateinamen 'bericht.pdf; whoami' übergibt und der Assistent diesen ganzen Zettel an das Terminal weitergibt, wodurch der Bericht gedruckt und der Administratorenausweis ausgelesen wird.

Kernkonzepte & Begriffe

Web Application Security: Kernkomponente der Architektur, die von CWE-918 betroffen ist.
CWE-918: Standardmäßige Common Weakness Enumeration (CWE)-Klassifizierung für command-injection-ruby.
Defense-in-Depth: Mehrschichtige technische Verifikation und Laufzeit-Grenzenisolation.

Schritt-für-Schritt Angriffsablauf

Step 1

Eingabe Nicht Vertrauenswürdiger Parameter

Die Anwendung akzeptiert Hostnamen, Dateinamen oder Diagnoseparameter direkt aus einer HTTP-Anfrage.

Step 2

Unsichere Shell-Interpolation

Das Backend erstellt den Shell-Befehlsstring durch einfache Zeichenfolgenverkettung statt über ein isoliertes Argumenten-Array.

Step 3

Befehlstrennzeichen-Injektion

Der Angreifer fügt Shell-Metazeichen wie ';', '&&', '|' oder Backticks ein (z. B. '127.0.0.1; id'), um den Befehlskontext zu verlassen.

Step 4

Subshell-Ausführung und Systemübernahme

Die Shell des Betriebssystems führt den angehängten Schadcode mit den Rechten des Webserverprozesses aus.

Quellcode: Verwundbar vs. Sicher

✕ VERWUNDBARE IMPLEMENTIERUNG

# Backtick execution invokes /bin/sh
def fetch_git_log(branch)
  # Input: "main; whoami"
  `git log #{branch}`
end

✓ GEHÄRTETER SICHERHEITS-PATCH

# Multiple arguments to system/Open3 bypass the shell
require 'open3'

def fetch_git_log(branch)
  # branch is passed as an isolated argument to git
  stdout, stderr, status = Open3.capture3("git", "log", branch)
  stdout
end

Checkliste für Engineering & Systemsicherheit

✓Verwenden Sie immer Open3.capture3("cmd", *args) with discrete arguments.
✓Niemals use open() on user-supplied filenames; use File.open().
✓Führen Sie Brakeman in your GitHub Actions workflow aus.