Cas d'etude : quasi-incident de traversal de chemin dans une archive
Comment un bug de chemin d'extraction d'archive a ete detecte en QA et neutralise avant impact large.
Signal
Une execution QA a detecte des chemins extraits qui s'echappaient du repertoire temporaire attendu pendant le decompactage d'archive.
Cause racine
La normalisation des chemins arrivait apres la concatenation du chemin de write, ce qui permettait a des entrees malicieuses avec segments de traversal de contourner la contrainte de repertoire.
Correctif
- Normaliser et valider les chemins d'entree d'archive avant toute ecriture.
- Rejeter les chemins absolus et les tokens de traversal.
- Appliquer des limites de taille expandee et de nombre de fichiers.
Garde de regression
Ajout de fixtures d'archives malicieuses dans les tests de securite et exigence de checks de politique d'extraction en CI pour les changements lies aux archives.
Outils recommandes
Diff de manifeste
Comparez deux manifestes pour detecter les fichiers ajoutes, retires ou modifies.
Ouvrir l'outilGenerateur et verificateur de checksum
Calculez des SHA256 et verifiez l'integrite d'un fichier a partir des hashes attendus.
Ouvrir l'outil