OS 명령어 삽입

설명

대상 응용 프로그램 서버에서 임의의 OS 명령을 실행할 수 있습니다. OS 명령어 삽입은 전체 시스템 침해로 이어질 수 있는 심각한 취약점입니다.

복구

사용자 입력은 OS 명령을 실행하는 함수에 대한 명령 또는 명령 인수를 구성하는 데 사용해서는 안 됩니다. 이에는 사용자 업로드 또는 다운로드로부터 제공된 파일 이름도 포함됩니다.

애플리케이션이 다음을 사용하지 않도록 확인하세요:

  • 프로세스 이름에 사용자 제공 정보를 사용하여 실행하지 않도록.
  • 쉘 메타 문자를 이스케이프하지 않는 OS 명령 실행 함수에 사용자 제공 정보를 사용하지 않도록.
  • OS 명령에 대한 전달인자로 사용자 제공 정보를 사용하지 않도록.

애플리케이션은 OS 명령에 전달될 하드코딩된 일련의 전달인자를 가져야 합니다. 이러한 기능에 파일 이름이 전달된다면 파일 이름의 해시가 대신 사용되거나 다른 고유 식별자가 사용되는 것이 좋습니다. 또한, 제 3자 명령어에 대한 알려지지 않은 공격 위험으로 인해 OS 시스템 명령어 대신 동일한 기능을 구현하는 네이티브 라이브러리를 사용하는 것이 강력하게 추천됩니다.

Details

ID Aggregated CWE Type Risk
78.1 false 78 Active high

링크