CA3003: Esaminare il codice per individuare le vulnerabilità di inserimento del percorso del file

Causa

L'input di richiesta HTTP potenzialmente non attendibile raggiunge il percorso di un'operazione file.

Per impostazione predefinita, questa regola analizza l'intera codebase, ma è configurabile.

Descrizione regola

Quando si usa l'input non attendibile dalle richieste Web, tenere presente l'uso dell'input controllato dall'utente quando si specificano i percorsi dei file. Un utente malintenzionato può essere in grado di leggere un file imprevisto, causando la divulgazione di informazioni sui dati sensibili. In alternativa, un utente malintenzionato potrebbe essere in grado di scrivere in un file imprevisto, causando modifiche non autorizzate dei dati sensibili o compromettere la sicurezza del server. Una tecnica di attacco comune è Path Traversal per accedere ai file all'esterno della directory desiderata.

Questa regola tenta di trovare l'input dalle richieste HTTP che raggiungono un percorso in un'operazione file.

Come correggere le violazioni

• Se possibile, limitare i percorsi dei file in base all'input dell'utente a un elenco sicuro noto in modo esplicito. Ad esempio, se l'applicazione deve accedere solo a "red.txt", "green.txt" o "blue.txt", consentire solo tali valori.
• Verificare la presenza di nomi file non attendibili e verificare che il nome sia ben formato.
• Usare nomi di percorso completi quando si specificano i percorsi.
• Evitare costrutti potenzialmente pericolosi, ad esempio variabili di ambiente del percorso.
• Accettare nomi lunghi e convalidare il nome lungo solo se l'utente invia nomi brevi.
• Limitare l'input dell'utente finale a caratteri validi.
• Rifiutare i nomi in cui viene superata la lunghezza MAX_PATH.
• Gestire i nomi file letteralmente, senza interpretazione.
• Determinare se il nome file rappresenta un file o un dispositivo.

Quando eliminare gli avvisi

Se l'input è stato convalidato come descritto nella sezione precedente, è consigliabile eliminare questo avviso.

Configurare il codice da analizzare

Usare le opzioni seguenti per configurare le parti della codebase in cui eseguire questa regola.

• Escludere simboli specifici
• Escludere tipi specifici e i relativi tipi derivati

È possibile configurare queste opzioni solo per questa regola, per tutte le regole a cui si applica o per tutte le regole in questa categoria (Sicurezza) a cui si applica. Per altre informazioni, vedere Opzioni di configurazione delle regole di qualità del codice.

Escludere simboli specifici

È possibile escludere simboli specifici, ad esempio tipi e metodi, dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun codice all'interno di tipi denominati MyType, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Formati di nome simbolo consentiti nel valore dell'opzione (separati da |):

• Solo nome simbolo (include tutti i simboli con il nome, indipendentemente dal tipo o dallo spazio dei nomi contenitore).
• Nomi completi nel formato ID della documentazione del simbolo. Ogni nome di simbolo richiede un prefisso di tipo simbolo, ad esempio M: per i metodi, T: per i tipi e N: per gli spazi dei nomi.
• .ctor per costruttori e .cctor per costruttori statici.

Esempi:

Escludere tipi specifici e i relativi tipi derivati

È possibile escludere tipi specifici e i relativi tipi derivati dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun metodo all'interno di tipi denominati MyType e dei relativi tipi derivati, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Formati di nome simbolo consentiti nel valore dell'opzione (separati da |):

• Solo nome di tipo (include tutti i tipi con il nome, indipendentemente dal tipo o dallo spazio dei nomi contenitore).
• Nomi completi nel formato ID della documentazione del simbolo, con un prefisso facoltativoT:.

Esempi:

Esempi di pseudo-codice

Violazione

using System;
using System.IO;

public partial class WebForm : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string userInput = Request.Params["UserInput"];
        // Assume the following directory structure:
        //   wwwroot\currentWebDirectory\user1.txt
        //   wwwroot\currentWebDirectory\user2.txt
        //   wwwroot\secret\allsecrets.txt
        // There is nothing wrong if the user inputs:
        //   user1.txt
        // However, if the user input is:
        //   ..\secret\allsecrets.txt
        // Then an attacker can now see all the secrets.

        // Avoid this:
        using (File.Open(userInput, FileMode.Open))
        {
            // Read a file with the name supplied by user
            // Input through request's query string and display
            // The content to the webpage.
        }
    }
}

Imports System
Imports System.IO

Partial Public Class WebForm
    Inherits System.Web.UI.Page

    Protected Sub Page_Load(sender As Object, e As EventArgs)
        Dim userInput As String = Me.Request.Params("UserInput")
        ' Assume the following directory structure:
        '   wwwroot\currentWebDirectory\user1.txt
        '   wwwroot\currentWebDirectory\user2.txt
        '   wwwroot\secret\allsecrets.txt
        ' There is nothing wrong if the user inputs:
        '   user1.txt
        ' However, if the user input is:
        '   ..\secret\allsecrets.txt
        ' Then an attacker can now see all the secrets.

        ' Avoid this:
        Using File.Open(userInput, FileMode.Open)
            ' Read a file with the name supplied by user
            ' Input through request's query string and display
            ' The content to the webpage.
        End Using
    End Sub
End Class