Exponenta Banner
exponenta event banner

Подверженность дескриптора файла дочернему процессу

Скопированный дескриптор файла, используемый в нескольких процессах

развернуть все на странице

Описание

Этот дефект возникает, когда процесс раскачивается, а дочерний процесс использует дескрипторы файлов, унаследованные от родительского процесса.

Риск

При раскладке дочернего процесса дескрипторы файлов копируются из родительского процесса, что означает возможность одновременного выполнения операций над одним и тем же файлом. Использование одного и того же дескриптора файла в родительском и дочернем процессах может привести к условиям гонки, которые не могут быть обнаружены во время стандартной отладки. Если вы неправильно управляете разрешениями и привилегиями дескриптора файла, содержимое файла уязвимо для атак, направленных на дочерний процесс.

Зафиксировать

Убедитесь, что файл не был изменен перед форсировкой процесса. Закройте все унаследованные дескрипторы файлов и снова откройте их с более строгими разрешениями и привилегиями, такими как разрешение только для чтения.

Примеры

развернуть все

# include <stdio.h>
# include <stdlib.h>
# include <string.h>
# include <unistd.h>
# include <fcntl.h>
# include <sys/types.h>
# include <sys/stat.h>



const char *test_file="/home/user/test.txt";

void func(void)
{
    char c;
    pid_t pid;
	/* create file descriptor in read and write mode */
    int fd = open(test_file, O_RDWR); 
    if (fd == -1)
    {
        /* Handle error */
		abort();
    }
	/* fork process */
    pid = fork();
    if (pid == -1)
    {
        /* Handle error */
		abort();
    }
    else if (pid == 0)
    {   /* Child process accesses file descriptor inherited 
		from parent process */
        (void)read(fd, &c, 1);
	}
    else
    {   /* Parent process access same file descriptor as 
		child process */
        (void)read(fd, &c, 1);
    }
}

В этом примере дескриптор файла fd создается в режиме чтения и записи. Затем процесс раскручивают. Дочерний процесс наследует и получает доступ fd с теми же разрешениями, что и родительский процесс. Существует условие гонки между родительским и дочерним процессами. Содержимое файла уязвимо для атак через дочерний процесс.

Исправление - закрыть и снова открыть унаследованный дескриптор файла

После создания дескриптора файла проверьте файл на наличие изменений. Затем закройте унаследованный дескриптор файла в дочернем процессе и снова откройте его в режиме только для чтения. 

# include <stdio.h>
# include <stdlib.h>
# include <string.h>
# include <unistd.h>
# include <fcntl.h>
# include <sys/types.h>
# include <sys/stat.h>


const char *test_file="/home/user/test.txt";

void func(void)
{
    char c;
    pid_t pid;

    /* Get the state of file for further file tampering checking */
	
	/* create file descriptor in read and write mode */
    int fd = open(test_file, O_RDWR);  
    if (fd == -1)
    {
        /* Handle error */
		abort();
    }

    /* Be sure the file was not tampered with while opening */
	
	/* fork process */

    pid = fork();
    if (pid == -1)
    {
        /* Handle error */
        (void)close(fd);
		abort();
    }
    else if (pid == 0)
    {  /* Close file descriptor in child process and repoen 
		it in read only mode */
		
        (void)close(fd);
        fd = open(test_file, O_RDONLY); 
        if (fd == -1)
        {
            /* Handle error */
			abort();
        }


        (void)read(fd, &c, 1);
        (void)close(fd);
    }
    else
    {  /* Parent acceses original file descriptor */
        (void)read(fd, &c, 1);
        (void)close(fd);
    }
}

Информация о результатах

Группа: Безопасность
Язык: C | C++
По умолчанию: Откл.
Синтаксис командной строки: FILE_EXPOSURE_TO_CHILD
Воздействие: среднее
ИДЕНТИФИКАТОР CWE : 362

См. также

Темы

Представлен в R2017b

Документация для поиска ошибок Polyspace

Поддержка