flawopen.com/command-injection/Java

● CWE-918 · Критический
Исследования · FlawOpen

Анализ уязвимости: Command Injection in Java

Learn how to fix Command Injection (CWE-78) in Java. Side-by-side vulnerable vs secure code examples for ProcessBuilder and Runtime.getRuntime().exec() argument vectors.

💡 Простыми словами (ELI5)

Представьте, что вы просите офисного ассистента распечатать документ 'отчет.pdf'. Инъекция команд происходит, когда кто-то указывает имя 'отчет.pdf; whoami', и ассистент слепо передает всю записку терминалу, заставляя его напечатать отчет и прочесть бейдж администратора.

Ключевые понятия и термины

Web Application Security
Технический термин (Web Application Security): Core architecture component affected by CWE-918.
CWE-918
Технический термин (CWE-918): Standard Common Weakness Enumeration classification for command-injection-java.
Defense-in-Depth
Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Прием ненадежных параметров

Приложение принимает диагностические имена хостов, имена файлов или флаги напрямую из HTTP-запроса пользователя.

Step 2

Небезопасная конкатенация командной строки

Бэкенд формирует строку команды оболочки с помощью склеивания строк вместо использования вектора разделенных аргументов.

Step 3

Внедрение разделителей команд

Злоумышленник внедряет метасимволы оболочки, такие как ';', '&&', '|' или обратные кавычки (например, '127.0.0.1; id').

Step 4

Выполнение в подоболочке и компрометация

Командная оболочка ОС выполняет внедренную команду с привилегиями рабочего процесса веб-сервера.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// Runtime.exec with string concatenation
public class PingService {
    public void ping(String host) throws Exception {
        // Attacker input: "127.0.0.1; whoami"
        String command = "sh -c ping -c 1 " + host;
        Process process = Runtime.getRuntime().exec(command);
    }
}
✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// ProcessBuilder with discrete argument list
public class PingService {
    public void ping(String host) throws Exception {
        // host is strictly isolated as an argument
        List<String> command = List.of("ping", "-c", "1", host);
        ProcessBuilder pb = new ProcessBuilder(command);
        Process process = pb.start();
    }
}

Чек-лист по защите системы для инженеров

References