Rails ActriveRecordとSQLインジェクションと実際のアプリケーション

(更新日: 2014/05/14)

先日はActive RecordのSQLインジェクションパターンを紹介しました。今回は脆弱なコードを見つける事を試みようと思います。脆弱とは言っても攻撃可能であることは意味しません。コーディングとして脆弱であるという意味です。実際に攻撃可能であるかどうかまでは確認していません。

 

サンプルプログラム

実例ということでRailsアプリケーションが必要なので検索して、OpenProjectと呼ばれるRailsアプリケーションを利用しています。OpenProjectはOffice Projectのようなプロジェクト管理用のオープンソースWebアプリケーションです。GitHubでソースコードが公開されています。今回はそのコードを利用しています。

https://github.com/opf/openproject

 

コードの確認

今回はActiveRecordの識別子の使い方がSQLインジェクションに脆弱になるコードの部分に焦点を絞り、ざっと簡単に確認しました。ActiveRecord関連以外にも気になる部分が幾つか見つかりましたが、省略しています。またソースコード全てを確認した訳ではありません。

 

app/models/news.rb

の部分はテーブル名となるNewsのtable_nameを直接文字列埋め込みを行っています。table_nameは普通は正しいテーブル名のハズなので、このような使い方でも大丈夫です。しかし、こういう書き方が一般的であると、誤って外部入力を埋め込んでしまうプログラマが居てもおかしくありません。

 

app/controllers/projects_controller.rb

Status.table_nameが直接埋め込みで利用されています。この部分ではcondも直接埋め込まれています。

 

app/controllers/time_entries/reports_controller.rb

の部分のsqlの文字列は貼り付けたコードから分かるようにSQLのWHERE条件です。GROUP BYの条件にsql_group_byを埋め込んでいます。sql_group_byの中身がどうなっているか、確認しないと安全であるかどうかは分かりません。

以下、識別子埋め込みを行っている部分のみを貼り付けます。

 

app/models/project.rb

 

app/models/repository.rb

 

 app/models/user.rb

 

 app/models/work_package.rb

 

まとめ

Active Recordオブジェクトのtable_nameは正規のテーブル名を保存しているはずなので、普通はセキュリティ上の問題にはなりません。しかし、しっかりコード検査をした訳ではありませんが、ざっと斜め読みしただけで、目的の変数による識別子埋め込み、問題となるかも?と思える箇所も見つけることができました。

このアプリの場合、結構気軽にSQL文に変数を直接埋め込んでいるようなので、詳しく調べるとSQLインジェクションに脆弱な部分も見つかるかも?と思えるコードでした。他にもマスアサイメントは大丈夫なのか?ビューのパスが大丈夫なのか?と思える部分もありました。

気軽に変数を埋め込んでいるコードになっているので、もし初心者このようなコードを参考にアプリケーションを作った場合、危険なコードになってしまう可能性が高いと思います。

堅牢なSQLデータベース操作を行うには、HTMLのビューのセキュリティ対策などと同じく、デフォルトで必要なエスケープ・バリデーションを無条件で適用します。無条件でセキュリティ対策を適用することにより、勘違いなどによるセキュリティホール(攻撃可能な脆弱性)を生むリスクを低減できます。

エスケープ処理を省略したい場合、明らかに安全であることを明示するため「XXXは安全なテーブル名。変数埋め込み」となどとコメントを書いておくのも良いと思います。

Comments

comments

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です