[ https://issues.apache.org/jira/browse/KYLIN-5700?page=com.atlassian.jira.plugin.system.issuetabpanels:comment-tabpanel&focusedCommentId=17756692#comment-17756692 ]
Yaguang Jia edited comment on KYLIN-5700 at 8/21/23 6:22 AM: ------------------------------------------------------------- 代码中执行shell命令的场景汇总: ||*序号*||*功能描述*||*代码位置*||*风险*||*是否需要修复*|| |2|打诊断包|{{SystemService#dumpLocalDiagPackage}}|用户可通过构造jobId或queryId 来实现命令行注入|是| |3|执行异步查询|{{AsyncQueryJob#runSparkSubmit}}|无|否| |4|提交spark任务|{{DefaultSparkBuildJobHandler#runSparkSubmit}}|无|否| |5|获取hostname|{{LicenseInfoService#gatherEnv}}|无|否| |6|执行脚步任务|{{ShellExecutable#doWork}}|无 (疑似废弃代码)|否| |7|杀远程进程|{{NExecutableManager#killRemoteProcess}}|无|否| |8|导入SSB数据源|{{TableService#importSSBDataBase}}|无|否| |9|清理临时表|{{SparkCleanupTransactionalTableStep#doExecuteCliCommand}}|代码会读取参数 {{kylin.source.hive.beeline-params}} 并拼接到命令中,若该参数含有恶意代码,则会导致恶意代码执行|是| |10|生成临时表|{{HiveTransactionTableHelper#generateTxTable}}|与序号9一致|是| |13|元数据导出工具复制文件|{{AbstractInfoExtractorTool#addFile}}|无|否| |14|元数据导出工具获取系统信息(linux版本、内存、磁盘、hadoop版本 等)|{{AbstractInfoExtractorTool#addShellOutput}}|无|否| |15|元数据导出工具获取环境变量及Kylin目录结构|{{ClientEnvTool#extractInfoByCmd}}|无|否| |16|导出 influxDB数据|{{InfluxDBTool#dumpInfluxDB}}|influxDB的host 和 database 参数均是从配置中读取的,若该配置含有恶意代码,则会导致恶意代码执行|是| |17|获取yarn日志|{{YarnApplicationTool#extractYarnLogs}}|无|否| |19|获取GC时间|{{FullGCDurationChecker#getGCTime}}|无|否| |21|重启Kylin|{{RestartStateHandler#doHandle}}|无|否| |22|垃圾清理工具清理临时表|{{ProjectTemporaryTableCleaner#doExecuteCmd}}|与序号9一致|是| |23|获取yarn的统计指标|{{KapGetClusterInfo#getYarnMetrics}}|代码会读取参数 {{kylin.job.yarn-app-rest-check-status-url}} 并拼接到命令中,若该配置含有恶意代码,则会导致恶意代码执行|是| |24|检测是否是数据权限分离的版本|{{UpdateUserAclTool#isDataPermissionSeparateVersion}}|无|否| |25|打JStack|{{ToolUtil#dumpKylinJStack}}|无|否| was (Author: JIRAUSER298908): 代码中执行shell命令的场景汇总: ||*序号*||*功能描述*||*代码位置*||*风险*||*是否需要修复*|| |2|打诊断包|{{SystemService#dumpLocalDiagPackage}}|用户可通过构造jobId或queryId 来实现命令行注入|是| |3|执行异步查询|{{AsyncQueryJob#runSparkSubmit}}|无|否| |4|提交spark任务|{{DefaultSparkBuildJobHandler#runSparkSubmit}}|无|否| |5|获取hostname|{{LicenseInfoService#gatherEnv}}|无|否| |6|执行脚步任务|{{ShellExecutable#doWork}}|无 (疑似废弃代码)|否| |7|杀远程进程|{{NExecutableManager#killRemoteProcess}}|无|否| |8|导入SSB数据源|{{TableService#importSSBDataBase}}|无|否| |9|清理临时表|{{SparkCleanupTransactionalTableStep#doExecuteCliCommand}}|代码会读取参数 {{kylin.source.hive.beeline-params}} 并拼接到命令中,若该参数含有恶意代码,则会导致恶意代码执行|是| |10|生成临时表|{{HiveTransactionTableHelper#generateTxTable}}|与序号9一致|是| |13|元数据导出工具复制文件|{{AbstractInfoExtractorTool#addFile}}|无|否| |14|元数据导出工具获取系统信息(linux版本、内存、磁盘、hadoop版本 等)|{{AbstractInfoExtractorTool#addShellOutput}}|无|否| |15|元数据导出工具获取环境变量及KE目录结构|{{ClientEnvTool#extractInfoByCmd}}|无|否| |16|导出 influxDB数据|{{InfluxDBTool#dumpInfluxDB}}|influxDB的host 和 database 参数均是从配置中读取的,若该配置含有恶意代码,则会导致恶意代码执行|是| |17|获取yarn日志|{{YarnApplicationTool#extractYarnLogs}}|无|否| |19|获取GC时间|{{FullGCDurationChecker#getGCTime}}|无|否| |20|KE状态检查|{{KEProcessChecker#doCheck}}|无|否| |21|重启KE|{{RestartStateHandler#doHandle}}|无|否| |22|垃圾清理工具清理临时表|{{ProjectTemporaryTableCleaner#doExecuteCmd}}|与序号9一致|是| |23|获取yarn的统计指标|{{KapGetClusterInfo#getYarnMetrics}}|代码会读取参数 {{kylin.job.yarn-app-rest-check-status-url}} 并拼接到命令中,若该配置含有恶意代码,则会导致恶意代码执行|是| |24|检测是否是数据权限分离的版本|{{UpdateUserAclTool#isDataPermissionSeparateVersion}}|无|否| |25|打JStack|{{ToolUtil#dumpKylinJStack}}|无|否| > Command line injection vulnerability when generating diagnostic packages via > scripts > ------------------------------------------------------------------------------------ > > Key: KYLIN-5700 > URL: https://issues.apache.org/jira/browse/KYLIN-5700 > Project: Kylin > Issue Type: Bug > Components: Tools, Build and Test > Affects Versions: 5.0-alpha > Reporter: Yaguang Jia > Assignee: Yaguang Jia > Priority: Critical > Fix For: 5.0-beta > > > h2. Background > 在当前代码中,有众多场景需要拼接出一条 cmd, 然后通过 {{ProcessBuilder}} > 来执行,拼接cmd的参数可能会来自接口,并且缺少参数合法性的检验,有被恶意攻击的可能。 > 当拼接 spark 命令时,使用了 {{checkCommandInjection}} 方法来避免注入攻击,但是该方法仅规避了 反引号 和 $() > 导致的注入攻击,如 {{`rm -rf /`}} {{{}$(rm -rf /){}}},无法规避其他场景,如 {{cat nohup.out2 && > echo success || echo failed}} > h2. Fix Design > 在拼接cmd命令时对参数进行检查,包括以下四种场景: > # 打诊断包时,会拼接 diag.sh 脚本的参数,如项目、jobId、路径等,依次检查每一个参数,符合 {{^[a-zA-Z0-9_./-]+$}} > 即可 > # 导出influxDB 数据时,会在命令里拼接 *数据库地址* 以及 {*}数据库名称{*}作为 influx命令的参数,前者符合 > {{[a-zA-Z0-9._-]{+}(:[0-9]{+})?}} 即可,后者符合{{{}^[0-9a-zA-Z_-]+${}}} 即可 > # 获取yarn的统计指标时,会拼接yarn 的url地址作为 curl 命令的参数,符合 > {{^(http(s)?://)?[a-zA-Z0-9._-]{+}(:[0-9]{+})?(/[a-zA-Z0-9._-]+)*/?$}} 即可 > # 执行 beeline 命令时,会将配置中的 beeline-params > 拼接到命令中,beeline-params的构成较为复杂,强制将每一个参数值使用{{{}'{}}}包起来转为字符串,如 abc → ‘abc',ab’c > → ‘ab’\''c' > -- This message was sent by Atlassian Jira (v8.20.10#820010)