Javaのコマンドインジェクションの脆弱性

Question

コードからMicrosoft Rdpアプリケーションを実行しようとしています。

私は、次の擬似コードとSonarQube約Command Injection Vulnerability

String rdpFilePath = myObject.getRdpFilePath() // get path of .rdp settings file 
ProcessBuilder processBuilder = new ProcessBuilder(); 
processBuilder.command("mstsc", rdpFilePath).start(); 

SonarQube問題の説明は、次のされて文句を言うている：

-Potential Command Injection- 
The highlighted API is used to execute a system command. 
If unfiltered input is passed to this API, it can lead to arbitrary command execution. 

どのように私の入力をフィルタリングすることができ、どのように私は、このセキュリティ問題を修正することができますか？

Answer 1

サンプルはかなり安全です。 mstscを実行する前にここに追加しておかなければならないことは、rdpFilePathというファイルが存在することを確認していることです。

フィルタリングされていないユーザー入力をcommandメソッドの1番目の引数として使用すると、セキュリティ上の問題が発生します（実行するプログラムでもコマンドを実行できる場合は、次の引数も脆弱になることがあります）。このような場合、ユーザはシステム上で任意のコマンドを実行することができます。