Command Injection in Ruby

Learn how to fix Command Injection (CWE-78) in Ruby. Side-by-side vulnerable vs secure code examples for Open3.capture2() and system() array arguments.

💡 Explicação em Linguagem Simples (ELI5)

Imagine pedir a um assistente de escritório para imprimir um documento chamado 'relatorio.pdf'. A injeção de comando ocorre quando alguém fornece o nome 'relatorio.pdf; whoami', e o assistente entrega o bilhete inteiro ao terminal, fazendo-o imprimir o relatório e ler o crachá de administrador.

Conceitos Centrais e Termos

Web Application Security: Componente de arquitetura principal afetado pelo CWE-918.
CWE-918: Classificação padrão Common Weakness Enumeration (CWE) para command-injection-ruby.
Defense-in-Depth: Verificação de engenharia em múltiplas camadas e isolamento de limites em tempo de execução.

Fluxo de Ataque Passo a Paso

Step 1

Ingestão de Parâmetros Não Confiáveis

O aplicativo aceita nomes de host diagnósticos, nomes de arquivo ou flags diretamente de uma requisição HTTP ou formulário de usuário.

Step 2

Interpolação de Shell Não Higienizada

O backend constrói uma string de comando shell usando concatenação direta ou formatação em vez de um vetor de argumentos separado.

Step 3

Injeção de Separador de Comandos

O invasor injeta metacaracteres shell como ';', '&&', '|' ou crases (ex: '127.0.0.1; id') para quebrar o contexto pretendido do comando.

Step 4

Execução em Subshell e Comprometimento

O shell do sistema operacional executa o comando anexado com todos os privilégios do processo web em execução.

Código-Fonte: Vulnerável vs. Seguro

✕ IMPLEMENTAÇÃO VULNERÁVEL

# Backtick execution invokes /bin/sh
def fetch_git_log(branch)
  # Input: "main; whoami"
  `git log #{branch}`
end

✓ PATCH SEGURO E ROBUSTO

# Multiple arguments to system/Open3 bypass the shell
require 'open3'

def fetch_git_log(branch)
  # branch is passed as an isolated argument to git
  stdout, stderr, status = Open3.capture3("git", "log", branch)
  stdout
end

Lista de Verificação de Segurança para Engenharia

✓Sempre use Open3.capture3("cmd", *args) with discrete arguments.
✓Nunca use open() on user-supplied filenames; use File.open().
✓Execute Brakeman in your GitHub Actions workflow.