V5.2.4 Sanitization and Sandboxing

Requirement:

Verify that the application avoids the use of eval() or other dynamic code execution features. Where there is no alternative, any user input being included must be sanitized or sandboxed before being executed.

Explanation:

Программное обеспечение получает входные данные от вышестоящего компонента, но не нейтрализует или неправильно нейтрализует синтаксис кода перед использованием входных данных в динамическом оценочном вызове (например, "eval").

Это может позволить злоумышленнику выполнить произвольный код или, по крайней мере, изменить код, который может быть выполнен.

Remediation:

Чтобы предотвратить уязвимости, связанные с выполнением динамического кода, приложение должно по возможности избегать использования функции eval() или других подобных функций выполнения динамического кода. Если использование таких функций необходимо, важно убедиться, что любой пользовательский ввод подвергается санитарной обработке или помещается в изолированную программную среду перед выполнением. Это может быть достигнуто с помощью различных методов, включая проверку ввода, экранирование ненадежного ввода или использование пользовательской среды песочницы.

Кроме того, рекомендуется использовать библиотеки и платформы для конкретных языков, которые предоставляют безопасные API-интерфейсы для оценки выражений, такие как конструктор функций JavaScript или функция exec Python. Эти библиотеки и фреймворки обеспечивают более безопасный способ выполнения кода, сохраняя при этом необходимую функциональность.

Пример кода JS:

Example of using a sandbox environment to safely evaluate code

const vm = require('vm');

const sandbox = {};

const code = `

var greeting = "Hello";

greeting = greeting + " " + userInput;

console.log(greeting);

`;

const userInput = "World";

vm.runInNewContext(code, sandbox);

console.log(sandbox.greeting);

Additional:

https://cwe.mitre.org/data/definitions/95.html