V12.3.1 File Execution

Requirement:

Verify that user-submitted filename metadata is not used directly by system or framework filesystems and that a URL API is used to protect against path traversal.

Explanation:

Требование предназначено для предотвращения использования злоумышленниками злонамеренно созданных имен файлов для манипулирования файловыми системами, выполнения произвольного кода или проведения path traversal атак.

#Path traversal attack

http://some_site.com.br/../../../../etc/shadow

http://some_site.com.br/get-files?file=/etc/passwd

Remediation:

Для соответствия требованию выполните следующее:

1. Do Not Use User-Submitted Filenames Directly.

Не используйте названия файлов, предоставленные пользователями, в операциях с файловой системой или в URL-адресах, взаимодействующих с файловой системой. Вместо этого используйте управляемый идентификатор или уникальный маркер для ссылок на файлы.

2. Implement Input Validation.

Проверяйте имена файлов, вводимые пользователем, на соответствие заданному формату или набору допустимых символов. Отклоняйте имена файлов, содержащие специальные символы, которые могут быть использованы для атак.

3. Sanitize Filenames.

Применяйте проверку имен файлов для удаления или замены символов, имеющих специальное значение в путях файловой системы, таких как "../" или ".". Это предотвращает path traversal атаки.

4. Use a URL API for Filesystem Interaction.

Для работы с файловой системой используйте URL API или встроенные функции, предоставляемые языком программирования или фреймворком. Эти API предназначены для безопасной работы с путями.

5. Map Filenames to Safe Paths.

Создайте механизм сопоставления, который будет преобразовывать имена файлов, переданные пользователем, в безопасные пути в файловой системе. Такое сопоставление должно основываться на белом списке разрешенных файлов или каталогов.

6. Secure File Uploads.

Если приложение позволяет загружать файлы, проверьте имена и содержимое загружаемых файлов, чтобы убедиться, что они соответствуют ожидаемым типам файлов и не являются вредоносными.

Важно защищаться от атак path traversal, поскольку они могут позволить злоумышленнику получить доступ к конфиденциальным файлам или каталогам за пределами предполагаемой иерархии файловой системы. Используя URL API для доступа к файлам вместо прямых вызовов файловой системы, вы можете гарантировать, что приложение не получит доступ к непреднамеренным файлам или каталогам, даже если имена файлов, отправленные пользователем, содержат вредоносные последовательности.

Пример кода демонстрирует реализацию проверки в веб-приложении имен файлов для предотвращения path traversal атак:

from flask import Flask, send_from_directory

app = Flask(__name__)

# Specify the directory where the files are stored

UPLOAD_DIRECTORY = "/path/to/uploads"

@app.route("/uploads/<filename>")

def download_file(filename):

# Validate the filename to ensure it does not contain any malicious characters

if ".." in filename or "/" in filename:

return "Invalid filename", 400

# Serve the file from the specified directory

return send_from_directory(UPLOAD_DIRECTORY, filename)

if __name__ == "__main__":

app.run()

Определяется маршрут /uploads/filename. Этот маршрут используется для обслуживания файлов из указанного каталога. Включена базовая проверка имен файлов на наличие вредоносных символов, таких как "." и "/". Это позволяет предотвратить path traversal атаки.  Если имя файла проходит проверку, то функция send_from_directory используется для передачи запрошенного файла из указанного каталога. 

Данный код демонстрирует простой и эффективный подход к безопасному обслуживанию файлов с защитой от атак path traversal. Однако для продуктивной среды можно рассмотреть следующие рекомендации:

• Content-Type and Security Headers: При обработке файлов важно устанавливать соответствующий заголовок Content-Type в зависимости от типа файла. Кроме того, следует установить такие заголовки безопасности, как X-Content-Type-Options и Content-Security-Policy.

• File Whitelisting: В более сложных конфигурациях можно реализовать "белый список" разрешенных имен файлов для дальнейшего контроля над тем, какие файлы могут быть переданы.

• Authentication and Authorization: В зависимости от требований приложения перед обслуживанием файлов может потребоваться аутентификация и авторизация пользователя.

• Rate Limiting: Для защиты endpoint от нарушений при обработке файлов используйте ограничение скорости.

• Content-Disposition Header: В зависимости от конкретного случая использования можно задать заголовок Content-Disposition для управления тем, как браузер будет обрабатывать загруженный файл (например, запрашивать загрузку или отображать в строке).

• Security Auditing: Регулярно проверяйте и аудируйте применяемые меры безопасности, чтобы обеспечить постоянную защиту от развивающихся угроз.

Additional:

https://owasp.org/www-community/attacks/Path_Traversal

https://cwe.mitre.org/data/definitions/22.html