Dynamic Code Evaluation: Script Injection

実行時にユーザーの制御下にある命令を解釈すると、攻撃者が悪意のあるコードを実行できる可能性があります。

最近のプログラミング言語では、ソース命令の動的な解釈が可能です。この機能により、プログラマはユーザー入力に基づいた動的な命令の実行が可能です。コード挿入の脆弱性が発生するのは、プログラマが「ユーザーから直接入力された命令は、害のない操作 (アクティブなユーザーオブジェクトについての単純な計算や、ユーザーの状態の変更など) のみを実行する」という誤った想定をした場合です。しかし、適切な検証を行わなかった場合、ユーザーがプログラマの意図とは異なる操作を指定する可能性があります。

例 1: このコード挿入の例では、リクエストパラメーターは評価される razor テンプレートにバインドされます。

...
	string name = Request["username"];
	string template = "Hello @Model.Name! Welcome " + name + "!";
	string result = Razor.Parse(template, new { Name = "World" });
...

プログラムは、operation パラメーターが悪意のない値、たとえば "John" (この場合は result 変数に "Hello World!Welcome John!" の値が割り当てられる) などの場合に正しく動作します。しかし、攻撃者が有効かつ悪意のある言語操作を指定した場合、指定された操作は親プロセスの完全な権限で実行されます。このような攻撃は、基盤となる言語によってシステムリソースにアクセスできる場合や、システムコマンドの実行が認められている場合に、より危険性が高まります。たとえば、RazorでC#オブジェクトの呼び出しが可能です。攻撃者がnameの値として" @{ System.Diagnostics.Process proc = new System.Diagnostics.Process(); proc.EnableRaisingEvents=false; proc.StartInfo.FileName=\"calc\"; proc.Start(); }"を指定した場合、ホストシステムではシステムコマンドが実行されます。

実行時にユーザーの制御下にある命令を解釈すると、攻撃者が悪意のあるコードを実行できる可能性があります。

最近のプログラミング言語では、ソース命令の動的な解釈が可能です。この機能により、プログラマはユーザー入力に基づいた動的な命令の実行が可能です。コード挿入の脆弱性が発生するのは、プログラマが「ユーザーから直接入力された命令は、害のない操作 (アクティブなユーザーオブジェクトについての単純な計算や、ユーザーの状態の変更など) のみを実行する」という誤った想定をした場合です。しかし、適切な検証を行わなかった場合、ユーザーがプログラマの意図とは異なる操作を指定する可能性があります。

例 1: この典型的なコード挿入の例では、アプリケーションは、実行するコマンドの指定をユーザーに許可する基本的な計算機能を実装しています。

...
    userOp = form.operation.value;
    calcResult = eval(userOp);
...

operation パラメーターが「8 + 7 * 2」などの悪意のない値である場合、プログラムは正しく動作します。この場合、calcResult 変数には値 22 が割り当てられます。しかし、攻撃者が有効かつ悪意のある言語操作を指定した場合、指定された操作は親プロセスの完全な権限で実行されます。このような攻撃は、基盤となる言語によってシステムリソースにアクセスできる場合や、システムコマンドの実行が認められている場合に、より危険性が高まります。JavaScript の場合、攻撃者はこの脆弱性を利用してクロスサイト スクリプト攻撃を実行できます。

信頼できないソースからの任意のソース命令を実行すると、悪意のあるコードが実行される可能性があります。

最近のプログラミング言語では、ソース命令の動的な解釈が可能です。ユーザー入力の命令をデータに対して実行する必要があるが、ユーザー入力を解釈するコードを実装する代わりにプログラミング言語の構造体を利用することをプログラマが希望している場合に、この機能が役立ちます。ユーザーが入力する命令は、アクティブなユーザーオブジェクトに関する小規模な計算やユーザーオブジェクトの状態の変更など、害のない操作であることが想定されています。しかし、プログラマが不注意であった場合、攻撃者はプログラマの意図していない操作を指定できる可能性があります。

例 1: 基本となるプログラミング言語の構造体がユーザーによって指定される可能性がある典型的なアプリケーションとして、計算機能が挙げられます。次の ASP コードは、ユーザーが入力した基本的な算術操作を受け入れて計算し結果を返しています。

...
        strUserOp = Request.Form('operation')
        strResult = Eval(strUserOp)
...

プログラムの意図したとおりの動作は、operation パラメーターが"8 + 7 * 2" である例に示されます。strResult 変数は、値 22 を戻します。しかし、ユーザーが有効なそのほかの言語操作を指定する場合、それらの操作は実行されるだけでなく、親プロセスの完全な権限で実行されます。基礎となる言語によってシステムリソースにアクセスできる場合やシステムコマンドの実行が認められている場合、任意のコード実行がもたらす危険性はより高まります。たとえば、攻撃者が operation に " Shell('C:\WINDOWS\SYSTEM32\TSSHUTDN.EXE 0 /DELAY:0 /POWERDOWN')" を指定した場合、ホスト システムでは shutdown コマンドが実行されます。