Command Injection in Ruby

Learn how to fix Command Injection (CWE-78) in Ruby. Side-by-side vulnerable vs secure code examples for Open3.capture2() and system() array arguments.

💡 Penjelasan Sederhana (ELI5)

Bayangkan meminta asisten kantor untuk mencetak dokumen bernama 'laporan.pdf'. Injeksi perintah terjadi saat seseorang memberikan nama 'laporan.pdf; whoami', dan asisten menyerahkan seluruh catatan tersebut ke terminal loket, mencetak dokumen sekaligus membaca lencana administrator.

Konsep Kunci & Istilah

Web Application Security: Komponen arsitektur utama yang terpengaruh oleh CWE-918.
CWE-918: Klasifikasi standar Common Weakness Enumeration (CWE) untuk command-injection-ruby.
Defense-in-Depth: Verifikasi rekayasa berlapis dan isolasi batas waktu proses (runtime).

Alur Serangan Langkah demi Langkah

Step 1

Penerimaan Parameter Tidak Tepercaya

Aplikasi menerima input nama host diagnostik atau nama file langsung dari permintaan HTTP.

Step 2

Penggabungan String Shell Tidak Aman

Backend merangkai perintah shell menggunakan penggabungan string mentah alih-alih vektor argumen terisolasi.

Step 3

Injeksi Pemisah Perintah

Penyerang menyisipkan karakter meta shell seperti ';', '&&', '|', atau backticks (misal: '127.0.0.1; id') untuk keluar dari konteks perintah.

Step 4

Eksekusi Subshell & Kompromi Host

Shell sistem operasi menjalankan perintah yang disuntikkan dengan hak akses penuh proses web server.

Kode Sumber: Rentan vs Aman

✕ IMPLEMENTASI RENTAN

# Backtick execution invokes /bin/sh
def fetch_git_log(branch)
  # Input: "main; whoami"
  `git log #{branch}`
end

✓ PERBAIKAN AMAN & KUAT

# Multiple arguments to system/Open3 bypass the shell
require 'open3'

def fetch_git_log(branch)
  # branch is passed as an isolated argument to git
  stdout, stderr, status = Open3.capture3("git", "log", branch)
  stdout
end

Daftar Periksa Penguatan Sistem Rekayasa

✓Selalu gunakan Open3.capture3("cmd", *args) with discrete arguments.
✓Jangan pernah use open() on user-supplied filenames; use File.open().
✓Jalankan Brakeman in your GitHub Actions workflow.