V12.3.6 File Execution

Requirement:

Verify that the application does not include and execute functionality from untrusted sources, such as unverified content distribution networks, JavaScript libraries, node npm libraries, or server-side DLLs.

Explanation:

При включении сторонних функций, таких как веб-виджет, библиотека или другой источник функциональности, продукт должен эффективно доверять этой функциональности. Без достаточных механизмов защиты функциональность может быть вредоносной по своей природе (либо путем получения из ненадежного источника, подделки или изменения при передаче из надежного источника). Функциональные возможности могут также содержать собственные слабые места или предоставлять доступ к дополнительным функциональным возможностям и сведениям о состоянии, которые должны храниться в тайне базовой системы, таким как сведения о состоянии системы, конфиденциальные данные приложения или модель DOM веб-приложения.

Это может привести к различным последствиям в зависимости от включенной функциональности, но некоторые примеры включают внедрение вредоносного ПО, раскрытие информации путем предоставления чрезмерных привилегий или разрешений на ненадежную функциональность, уязвимости XSS на основе DOM, кражу файлов cookie пользователя или открытое перенаправление на вредоносное ПО (CWE-601).

Remediation:

Проверка того, что приложение не включает и не выполняет функции из ненадежных источников, является важным шагом в защите от угроз безопасности, таких как вредоносное ПО, несанкционированный доступ и кража данных.

Вот пример того, как реализовать это исправление в коде:

# Secure code for downloading and executing libraries from trusted sources

import hashlib

import requests

# Define the hash of the expected library

expected_hash = "c3ab8ff13720e8ad9047dd39466b3c8974e592c2fa383d4a3960714caef0c4f2"

# Download the library from a trusted source

response = requests.get("https://example.com/library.js")

# Calculate the hash of the downloaded library

downloaded_hash = hashlib.sha256(response.content).hexdigest()

# Compare the hash of the downloaded library with the expected hash

if downloaded_hash == expected_hash:

# If the hash is correct, execute the library

exec(response.content)

else:

# If the hash is incorrect, do not execute the library

raise Exception("The library is not from a trusted source")

В приведенном выше коде библиотека загружается из надежного источника, вычисляется хэш загруженной библиотеки и сравнивается с ожидаемым хешем. Если хэш загруженной библиотеки отличается от ожидаемого хэша, это означает, что библиотека была изменена, и код вызывает исключение. Это помогает гарантировать выполнение только доверенных библиотек и не запускать любые библиотеки из ненадежных источников, что помогает защититься от угроз безопасности. Обратите внимание, что это всего лишь один пример того, как реализовать это исправление в коде, и конкретный подход будет зависеть от конкретных требований системы и используемых API или библиотек.

Additional:

https://cwe.mitre.org/data/definitions/829.html