报告 #2904921 - 操作系统命令注入（subprocess模块使用）

提交者: bulter
提交时间: 2024年12月17日 19:54 UTC
报告对象: curl

摘要

Bandit工具在curl.py文件中检测到subprocess模块的使用，触发了B404:blacklist规则。该规则强调了在使用subprocess模块时若未对输入进行适当清理可能带来的安全风险，这可能导致命令注入漏洞。

具体问题出现在使用subprocess.Popen和subprocess.run执行系统级命令的代码中。如果用户输入或其他不可信数据未经验证直接传递到这些subprocess调用中，恶意攻击者可能注入任意命令，从而危及系统安全。

受影响代码

标记的代码出现在curl.py文件中：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


import subprocess

# 使用subprocess执行系统命令的代码
p = subprocess.Popen(args, stderr=cerr, stdout=cout,
    cwd=self._run_dir, shell=False, env=self._run_env)
    
p = subprocess.run(args, stderr=cerr, stdout=cout,
    cwd=self._run_dir, shell=False,
    input=intext.encode() if intext else None,
    timeout=self._timeout,
    env=self._run_env)

文件位置: curl.py

漏洞说明

subprocess模块提供了生成新进程并与之交互的方法。虽然功能强大，但如果使用不当也会带来安全风险：

命令注入: 如果传递给subprocess.Popen或subprocess.run的参数包含不可信的用户输入，攻击者可能注入任意命令，导致在系统上执行恶意代码。
输入处理不当: 代码未清理或验证传递给这些subprocess函数的输入。如果任何输入参数（args、intext等）可能被不可信源操纵，这将使系统容易受到攻击。

在受影响代码中，args和intext直接传递到subprocess调用中。如果这些输入来自用户输入、环境变量或未经验证的外部源，攻击者可以构造恶意输入，这些输入将被subprocess执行，可能导致安全漏洞。

影响

命令注入: 攻击者可以向args或intext变量注入任意系统命令。这些注入的命令将以运行Python代码的进程的权限执行。
远程代码执行（RCE）: 在最坏情况下，如果应用程序以提升的权限运行（例如root或管理员），攻击者可以利用此漏洞在系统上执行任意命令，可能导致完全远程代码执行。
拒绝服务（DoS）: 如果攻击者提供导致系统崩溃或挂起的命令，这可能导致拒绝服务，影响系统或应用程序的可用性。

时间线

2024年12月17日 19:54 UTC - bulter向curl提交报告

2024年12月17日 20:14 UTC - dfandrich (curl员工) 发表评论：

这是一个安全报告还是关于最佳实践的建议？句子：“如果参数…包含不可信的用户输入，攻击者可能注入任意命令…“可以同样准确地重写为：“如果curl有安全问题，可能会发生坏事。“你通过使用"如果"这个词以这种方式条件化了这个报告七次。

你是否知道curl中存在实际的安全问题？

还要注意，curl中的所有Python代码都只是测试代码，不打算在生产中使用。

2024年12月17日 22:11 UTC - bagder (curl员工) 发表评论：

正如@dfandrich所说，这似乎没有识别出真正的问题，即使识别出来了，这仅仅是测试代码，不在生产中使用，所以如果这会导致问题会非常奇怪。

这不是安全问题。

2024年12月17日 22:12 UTC - bagder将报告状态更改为"不适用"并关闭报告

2024年12月17日 22:12 UTC - bulter发表评论：

感谢您的反馈。我想澄清的是，识别出的问题不仅仅是"最佳实践"建议，而是真实的安全漏洞。以不安全的方式使用subprocess模块，特别是与不可信输入（如用户提供的数据或外部源）一起使用，会使系统面临严重风险，如命令注入、远程代码执行（RCE）和拒绝服务（DoS）。

虽然curl.py中的代码用于测试目的"如您所说”，但这并不否定这样一个事实：如果在生产环境或类似情况下应用subprocess的这种使用模式，可能会被利用。因此，在将输入传递给subprocess调用之前验证和清理输入至关重要。

感谢您的理解，希望这能澄清安全关切。

2024年12月17日 22:17 UTC - bagder发表评论：

裁决保持不变。这只是用于运行curl测试的代码。

10天前 - bagder请求披露此报告：

根据项目的透明度政策，我们希望所有报告都被披露并公开。

9天前 - bagder披露了此报告

报告详情

报告时间: 2024年12月17日 19:54 UTC
报告者: bulter
报告对象: curl
报告ID: #2904921
严重性: 低 (0.1 ~ 3.9)
披露时间: 2025年7月7日 10:17 UTC
弱点类型: 操作系统命令注入
CVE ID: 无
赏金: 无

Python subprocess模块命令注入漏洞分析

本文详细分析了curl项目中subprocess模块使用不当导致的操作系统命令注入漏洞，探讨了输入验证不足可能引发的远程代码执行和拒绝服务风险，尽管该代码仅为测试用途。

报告 #2904921 - 操作系统命令注入（subprocess模块使用）

摘要

受影响代码

漏洞说明

影响

时间线

报告详情