ファイルオープンの罠 - Journal InTime(2017-12-15)

_ ファイルオープンの罠 僕が書いたNet::FTPのコードに脆弱性報告があり、修正版がリリースされた。関係者のみなさん、ありがとうございました。 CVE-2017-17405: Net::FTP におけるコマンドインジェクションの脆弱性について 問題があったのは以下のようなコードだった。 def getbinaryfile(remotefile, localfile = File.basename(remotefile), blocksize = DEFAULT_BLOCKSIZE, &block) # :yield: data f = nil result = nil if localfile if @resume rest_offset = File.size?(localfile) f = open(localfile, "a") else rest_offset = nil f

[xbs2r]

20年前のエンバグか。歴史を感じるなあ

[rryu]

Kernel#openはあるあるネタだけど、File.readもなのか…

[shag]

shell injection かな。

[tyru]

Perl でも open() の引数にファイル名だけ渡せるようにできるのに、もしかして Ruby って | とか来ないようにエスケープするしかないの？

[gfx]

Kernel#open に外部から来た文字列を渡してはいけないという話

[cho45]

File.read などの実態が IO.read なのでパイプが通る罠がこわい。Kernel#open はワンライナー以外では使わなそうだけど

[koyancya]

うおっ...... 全然意識してなかった......

[tmtms]

open が危ないのは認識してたけど、File.read は盲点だった。こわいなー。