V5.2.8 Sanitization and Sandboxing

Requirement:

Verify that the application sanitizes, disables, or sandboxes user-supplied scriptable or expression template language content, such as Markdown, CSS or XSL stylesheets, BBCode, or similar.

Explanation:

Когда продукт позволяет вводу пользователя содержать синтаксис кода, злоумышленник может создать код таким образом, что он изменит предполагаемый поток управления продуктом. Такое изменение может привести к выполнению произвольного кода. Проблемы с инъекциями охватывают широкий спектр проблем, и все они решаются очень по-разному. По этой причине наиболее эффективным способом обсуждения этих слабых мест является отмечание отличительных особенностей, которые классифицируют их как слабые места инъекций. Наиболее важная проблема, которую следует отметить, заключается в том, что все проблемы с внедрением имеют одну общую черту — то есть они позволяют вводить данные плоскости управления в плоскость данных, контролируемую пользователем. Это означает, что выполнение процесса может быть изменено путем отправки кода через легитимные каналы данных без использования какого-либо другого механизма. В то время как переполнение буфера и многие другие недостатки связаны с использованием некоторых дополнительных проблем для обеспечения выполнения, проблемы с внедрением нужны только для анализа данных. Наиболее классическими проявлениями этой категории уязвимостей являются SQL-инъекции и уязвимости форматной строки.

Remediation:

Простой сценарий просит пользователя предоставить список чисел в качестве входных данных и складывает их вместе. При этом не использует eval().

def main():

sum = 0

numbers = input("Enter a space-separated list of numbers: ").split(" ")

try:

for num in numbers:

sum = sum + num

print(f"Sum of {numbers} = {sum}")

except ValueError:

print("Error: invalid input")

main()

Альтернативный вариант — использовать функцию ast.literal_eval() из модуля Python ast. Эта функция рассматривает только литералы Python как допустимые типы данных и не будет выполнять какой-либо код, содержащийся в пользовательском вводе.

Additional:

https://cwe.mitre.org/data/definitions/94.html