github.com/cli/safeexec パッケージを使った外部コマンドの安全な起動

Hugo v0.79.1 のリリースノートを見て気づいたのだが, GitHub が自身のコマンドライン・ツール用に github.com/cli/safeexec パッケージを公開している。

これは os/exec 標準パッケージ内の exec.LookPath() 関数を置き換えるもので

import (
    "os/exec"
    "github.com/cli/safeexec"
)

func gitStatus() error {
    gitBin, err := safeexec.LookPath("git")
    if err != nil {
        return err
    }
    cmd := exec.Command(gitBin, "status")
    return cmd.Run()
}

てな感じに使うようだ。

以前に Zenn で紹介したが

Windows 環境で os/exec 標準パッケージを使って外部コマンドをする際,パスなしのコマンド名を指定するとカレントにある同名の実行モジュールが優先的に起動されてしまう。 このブログでは CVE-2020-27955 の脆弱性として紹介している。

os/exec 標準パッケージを使って外部コマンドを起動している場合は github.com/cli/safeexec パッケージで LookPath() 関数を置き換えることを検討するのもいいだろう。

なお,この問題は既に以下の issue として上がっているようだ(特に10月下旬辺りからの議論)。

どうなることやら。

ブックマーク

参考図書

photo
プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES)
Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田 芳樹 (翻訳)
丸善出版 2016-06-20
単行本(ソフトカバー)
4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN), 9784621300251 (ISBN)
評価     

著者のひとりは(あの「バイブル」とも呼ばれる)通称 “K&R” の K のほうである。この本は Go 言語の教科書と言ってもいいだろう。

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)