flawopen.com/command-injection/Java
Learn how to fix Command Injection (CWE-78) in Java. Side-by-side vulnerable vs secure code examples for ProcessBuilder and Runtime.getRuntime().exec() argument vectors.
Imaginez demander à un assistant de bureau d'imprimer un document nommé 'rapport.pdf'. L'injection de commande se produit lorsque quelqu'un fournit le nom 'rapport.pdf; whoami', et l'assistant transmet aveuglément le billet au terminal, imprimant le rapport et lisant le badge d'administrateur.
Web Application SecurityCWE-918.CWE-918Defense-in-DepthL'application reçoit des noms d'hôte de diagnostic ou des noms de fichiers directement à partir d'une requête HTTP.
Le backend assemble une commande shell par simple concaténation de chaînes au lieu d'utiliser un tableau d'arguments isolé.
L'attaquant injecte des métacaractères shell comme ';', '&&', '|' ou des accents graves (ex. '127.0.0.1; id') pour échapper au contexte initial.
Le shell du système d'exploitation exécute la commande injectée avec tous les privilèges du processus du serveur web.
// Runtime.exec with string concatenation
public class PingService {
public void ping(String host) throws Exception {
// Attacker input: "127.0.0.1; whoami"
String command = "sh -c ping -c 1 " + host;
Process process = Runtime.getRuntime().exec(command);
}
}
// ProcessBuilder with discrete argument list
public class PingService {
public void ping(String host) throws Exception {
// host is strictly isolated as an argument
List<String> command = List.of("ping", "-c", "1", host);
ProcessBuilder pb = new ProcessBuilder(command);
Process process = pb.start();
}
}