Анализ уязвимости: Command Injection in Ruby

Learn how to fix Command Injection (CWE-78) in Ruby. Side-by-side vulnerable vs secure code examples for Open3.capture2() and system() array arguments.

💡 Простыми словами (ELI5)

Представьте, что вы просите офисного ассистента распечатать документ 'отчет.pdf'. Инъекция команд происходит, когда кто-то указывает имя 'отчет.pdf; whoami', и ассистент слепо передает всю записку терминалу, заставляя его напечатать отчет и прочесть бейдж администратора.

Ключевые понятия и термины

Web Application Security: Технический термин (Web Application Security): Core architecture component affected by CWE-918.
CWE-918: Технический термин (CWE-918): Standard Common Weakness Enumeration classification for command-injection-ruby.
Defense-in-Depth: Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Прием ненадежных параметров

Приложение принимает диагностические имена хостов, имена файлов или флаги напрямую из HTTP-запроса пользователя.

Step 2

Небезопасная конкатенация командной строки

Бэкенд формирует строку команды оболочки с помощью склеивания строк вместо использования вектора разделенных аргументов.

Step 3

Внедрение разделителей команд

Злоумышленник внедряет метасимволы оболочки, такие как ';', '&&', '|' или обратные кавычки (например, '127.0.0.1; id').

Step 4

Выполнение в подоболочке и компрометация

Командная оболочка ОС выполняет внедренную команду с привилегиями рабочего процесса веб-сервера.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ

# Backtick execution invokes /bin/sh
def fetch_git_log(branch)
  # Input: "main; whoami"
  `git log #{branch}`
end

✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

# Multiple arguments to system/Open3 bypass the shell
require 'open3'

def fetch_git_log(branch)
  # branch is passed as an isolated argument to git
  stdout, stderr, status = Open3.capture3("git", "log", branch)
  stdout
end

Чек-лист по защите системы для инженеров

✓Всегда используйте Open3.capture3("cmd", *args) with discrete arguments.
✓Никогда не use open() on user-supplied filenames; use File.open().
✓Запускайте Brakeman in your GitHub Actions workflow.