使用doop鉴别最近commons text漏洞的污点信息流

由希腊雅典大学的Plast-Lab team设计的doop静态分析框架进行了。目前看是一款开源领域的比较先进的程序静态分析框架，一些程序静态分析论文的理论也有通过doop的规则实现后实验。

doop整体架构简单明了，符合通常静态代码漏洞扫描工具扫描器内核的设计思路。架构上由groovy写的调用程序“粘合”在一起，通过调用fact-generator和datalog分析器，得出自动化的分析结果。

Apache Commons Text是一款处理字符串和文本块的开源项目，之前被披露存在CVE-2022-42889远程代码执行漏洞，这个漏洞目前网上的分析文章比较多，在此不做复述。该漏洞原理上有点类似log4j2，当然影响不可相比，其代码中存在可以造成代码执行的插值器，例如ScriptStringLookup（当然这里提到这个插值器是因为我们的目标就是分析这一条sink污点流），用于同时没有对用户输入字符串的可能的安全性进行适当的验证导致进一步的问题。

org.apache.commons.text.StringSubstitutor replace函数作为source，ScriptEngine eval函数作为sink。

doop设置app only模式去进行分析，doop在app only模式下会将!ApplicationMethod(?signature)加入isOpaqueMethod(?signature)，这样一些分析不会进入jdk的类中，可以大大提高doop的分析效率。依据莱斯定理，静态程序分析难以达到完全的完备(truth或者perfect)，也是尽可能优化sound。类似在企业级的SAST部署使用也是如此，也需要在扫描精度、扫描速度以及实际可用性中进行取舍或者平衡，所以doop的app only模式下在个人看来更接近实际嵌入到devsecops中的轻量级静态代码漏洞扫描的应用。这样的设计可以让开发者不必花费大量时间去构建自己的devsecops，只需要在apponly模式下进行简单的测试即可。

（编辑：银川站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!