서버 측 코드 인젝션 (Ruby)
설명
대상 응용 프로그램은 코드 인젝션에 취약한 것으로 발견되었습니다. 악의적인 사용자가 서버에서 실행될 임의의 Ruby 코드를 인젝션할 수 있습니다. 이로 인해 저장된 비밀을 액세스하거나 계정을 탈취하는 코드를 인젝션하거나 OS 명령을 실행하여 전체 시스템을 손상시킬 수 있습니다.
해결 방법
사용자 입력을 eval
, send
, public_send
, instance_eval
또는 class_eval
와 같이 문자열 데이터를 코드로 평가하는 함수에 직접 전달해서는 안 됩니다. 이러한 메서드에 문자열 값을 전달하는 것에 대부분의 이점이 거의 없으므로, 현재 논리를 더 안전한 구현으로 교체하는 것이 가장 좋은 권장 사항입니다. send
또는 public_send
를 사용하는 경우 첫 번째 인수가 알려진 하드코딩된 메서드/심볼이어야 하며 사용자 입력에서 가져오지 않아야 합니다.
eval
, instance_eval
및 class_eval
의 경우 사용자 입력을 이러한 메서드로 직접 보내서는 안 됩니다. 대안 중 하나는 함수 또는 메서드를 키를 사용하여 조회할 수있는 Hash에 저장하는 것입니다. 키가 존재하는 경우 함수를 실행할 수 있습니다.
def func_to_run
puts 'hello world'
end
input = 'fn'
function_map = { fn: method(:func_to_run) }
if function_map.key?(input.to_sym)
function_map[input.to_sym].call
else
puts 'invalid input'
end
Details
ID | 집계 | CWE | 유형 | 위험 |
---|---|---|---|---|
94.2 | false | 94 | Active | 높음 |