# ルール このパッケージの、CakePHP 2 アプリケーション向けのルールと、それぞれが見つけるもの、修正方法です。どのルールも Semgrep ([resources/semgrep/cakephp2.yml](https://github.com/pieceofcake2/security-sast/blob/1.x/resources/semgrep/cakephp2.yml)) と PHPStan ([src/PHPStan/](https://github.com/pieceofcake2/security-sast/blob/1.x/src/PHPStan/)) の両方で書いてあり、どちらのエンジンでも同じ箇所を見つけます。Semgrep では、Semgrep Registry の PHP のルール (デフォルトは `p/php`) も実行します。その内容は [semgrep.dev](https://semgrep.dev/p/php) をご覧ください。 | ルール | リスク | PHPStan の識別子 | CWE | OWASP Top 10 (2021) | | --- | --- | --- | --- | --- | | [`cakephp2-query-concatenation`](#cakephp2-query-concatenation) | 高 | `securitySast.queryConcatenation` | CWE-89 | A03 インジェクション | | [`cakephp2-conditions-string`](#cakephp2-conditions-string) | 高 | `securitySast.conditionsString` | CWE-89 | A03 インジェクション | | [`cakephp2-render-request`](#cakephp2-render-request) | 高 | `securitySast.renderRequest` | CWE-22 | A01 アクセス制御の不備 | | [`cakephp2-unserialize-request`](#cakephp2-unserialize-request) | 高 | `securitySast.unserializeRequest` | CWE-502 | A08 ソフトウェアとデータの整合性の不具合 | | [`cakephp2-redirect-request`](#cakephp2-redirect-request) | 中 | `securitySast.redirectRequest` | CWE-601 | A01 アクセス制御の不備 | | [`cakephp2-xml-build-variable`](#cakephp2-xml-build-variable) | 中 | `securitySast.xmlBuildVariable` | CWE-918 | A10 サーバーサイドリクエストフォージェリ | | [`cakephp2-security-csrf-disabled`](#cakephp2-security-csrf-disabled) | 中 | `securitySast.securityCsrfDisabled` | CWE-352 | A01 アクセス制御の不備 | | [`cakephp2-view-unescaped-output`](#cakephp2-view-unescaped-output) | 中 | `securitySast.viewUnescapedOutput` | CWE-79 | A03 インジェクション | ルールが見るのはコードの書き方で、値がどこから来たかではありません。そのため、指摘は確かめるべき箇所であって、いつも 脆弱性とは限りません。「リクエストの値」とは、`$this->request` (その `query()`、`data()`、`params` など) と、`$_GET`、 `$_POST`、`$_REQUEST`、`$_COOKIE`、`$_FILES` のことです。報告書の進め方は [指摘を修正する](https://pieceofcake2.github.io/security-sast/ja/fixing.md) を、設定のルールは [設定](#設定) をご覧ください。 ## cakephp2-query-concatenation 連結やダブルクォートの文字列で変数を埋め込んで組み立てた SQL を、`Model::query()` に渡しています。 **なぜ危ないか。** 値がそのまま SQL に入ります。値がリクエストや、ユーザーが以前に保存したデータから来ると、値の クォートで SQL の文字列が終わり、残りが攻撃者の SQL になります。ほかのテーブル (パスワード) を読む、レコードを変えたり 消したりする、誰としてでもログインする、などができます (SQL インジェクション)。 ```php // 見つかる書き方 $this->Post->query("SELECT * FROM posts WHERE title LIKE '%" . $q . "%'"); $this->Post->query("SELECT * FROM posts WHERE id = $id"); // 修正方法: query() の値は、データベースのドライバーがエスケープします $this->Post->query('SELECT * FROM posts WHERE title LIKE ?', ['%' . $q . '%']); $this->Post->query('SELECT * FROM posts WHERE id = ?', [$id]); // よりよい修正方法: 条件の配列の find()。モデルのビヘイビアやコールバックも効きます $this->Post->find('all', ['conditions' => ['Post.title LIKE' => '%' . $q . '%']]); ``` **プレースホルダーにできない値。** テーブルや列の名前、`ORDER BY` とその向きは、`?` の値にできません。許可した名前の 一覧に対応させ、リクエストの値を SQL に入れないでください。 ```php $columns = ['title' => 'Post.title', 'created' => 'Post.created']; $sort = $columns[$this->request->query('sort')] ?? 'Post.created'; $direction = $this->request->query('direction') === 'asc' ? 'ASC' : 'DESC'; $posts = $this->Post->find('all', ['order' => [$sort => $direction]]); ``` 値の一覧 (`IN`) は、条件に配列で渡します: `['Post.id' => $ids]`。`LIKE` では値の `%` と `_` がワイルドカードに なります。ユーザーがそれらを文字として検索するなら、エスケープしてください。 **安全な場合。** 変数がコードの定数か、直前に `(int)` で整数にしたものの場合です。それでもプレースホルダーを 使ってください。使わない場合は、理由を書いて[除外](https://pieceofcake2.github.io/security-sast/ja/index.md#指摘を除外する)します。 **修正できたことの確かめ方。** もう一度チェックします。値にクォートを入れたアクションのテスト (`O'Brien`) で、クエリが 動くことを確かめます。[pieceofcake2/security-dast](https://pieceofcake2.github.io/security-dast/ja/) のフルスキャンは、 ページのパラメーターに SQL を送ります。 ## cakephp2-conditions-string 変数を含む条件の文字列を、`'conditions' => "..."` や、条件の配列のキーのない要素として渡しています。`find()`、 `paginate`、`updateAll()`、`deleteAll()` のオプションなどです。 **なぜ危ないか。** CakePHP は条件の配列 `['Post.title' => $title]` の値をエスケープしますが、文字列は SQL として そのまま使います。`query()` と同じ SQL インジェクションになります。 ```php // 見つかる書き方 $this->Post->find('all', ['conditions' => "Post.title = '$title'"]); $this->Post->find('all', ['conditions' => ['Post.published' => 1, "Post.title = '" . $title . "'"]]); $this->Post->deleteAll("Post.user_id = $userId"); // 修正方法: すべての値を配列の値に $this->Post->find('all', ['conditions' => ['Post.title' => $title]]); $this->Post->find('all', ['conditions' => ['Post.published' => 1, 'Post.title' => $title]]); $this->Post->deleteAll(['Post.user_id' => $userId]); ``` 演算子はキーに、値は値に書きます: `['Post.created >=' => $from]`、`['Post.title LIKE' => '%' . $q . '%']`、 `['NOT' => ['Post.id' => $ids]]`、`['OR' => [...]]`。コントローラーの `paginate` の設定にも同じ配列を使います。 **安全な場合。** 文字列にリクエストの変数がない場合です。定数の SQL の断片などです。変数は文字列に入れず、配列の値に してください。 ## cakephp2-render-request リクエストの値を `$this->render()` や `$this->element()` に渡しています。 **なぜ危ないか。** 値がビューの名前になります。`../` を入れると、アプリケーションのどのテンプレートでも、アクションの 変数とともに表示できます。管理画面のエレメントなど、そのページが見せるべきでない情報や、想定していない値でコードを 実行するテンプレートが表示されます (パストラバーサル)。 ```php // 見つかる書き方 $this->render($this->request->query('page')); echo $this->element($this->request->params['pass'][0]); // 修正方法: 値を、許可したビューの一覧に対応させる $pages = ['terms' => 'terms', 'privacy' => 'privacy']; $page = $pages[$this->request->query('page')] ?? null; if ($page === null) { throw new NotFoundException(); } $this->render($page); ``` 静的なページには、パスの `..` を拒否する pieceofcake2/app の `PagesController` を使い、ページは `templates/Pages/` に 置いてください。読み込んだり include したりするファイルのパスも、リクエストから作らないでください。`file_get_contents()`、 `include`、`readfile()`、`$this->response->file()` にも同じ問題があります。 ## cakephp2-unserialize-request リクエストの値を `unserialize()` に渡しています。 **なぜ危ないか。** `unserialize()` は、アプリケーションが読み込めるどのクラスのオブジェクトでも作り、そのメソッド (`__wakeup()`、`__destruct()` など) が攻撃者の値で動きます。アプリケーションやパッケージのクラスによっては、ファイルを 消したり、コードを実行したりできます (オブジェクトインジェクション)。 ```php // 見つかる書き方 $data = unserialize($this->request->data('payload')); $cart = unserialize($_COOKIE['cart']); // 修正方法: 配列とスカラーしか作らない JSON $data = json_decode((string)$this->request->data('payload'), true); $cart = $this->Cookie->read('cart'); ``` `CookieComponent` は値を暗号化し (`aes`、[cakephp2-config-cookie-cipher](#cakephp2-config-cookie-cipher) を参照)、配列を JSON で書きます。ユーザーのデータはそこか、セッションに置いてください。サーバーのキャッシュなど、`unserialize()` の形式の ままにする必要があるなら、`['allowed_classes' => false]` を付け、ユーザーが変えられる値は決して渡さないでください。 ## cakephp2-redirect-request リクエストの値を `$this->redirect()` に渡しています。 **なぜ危ないか。** 攻撃者は、`https://example.com/users/login?redirect=https://evil.example` のような、あなたのサイトの リンクを送ります。ユーザーはあなたのドメインを見てログインし、攻撃者のページに着きます。もう一度パスワードを聞く、 ログインページの偽物などです (オープンリダイレクト、フィッシング)。 ```php // 見つかる書き方 return $this->redirect($this->request->query('url')); // 修正方法: アプリケーションのパスだけ $url = (string)$this->request->query('url'); if (!str_starts_with($url, '/') || str_starts_with($url, '//') || str_starts_with($url, '/\\')) { $url = '/'; } return $this->redirect($url); ``` `//evil.example` や `/\evil.example` は、ブラウザにとってはほかのサイトの URL です。上のように確かめてください。キーで 選んだルートの配列 `['controller' => 'orders', 'action' => 'index']` にリダイレクトするほうが、よりよい方法です。 `AuthComponent::redirectUrl()` は、ログインのあとのリダイレクトをサイトの中に保ちます (pieceofcake2/cakephp 2.12.5 以降、 [GHSA-x4p9-p4cx-gxwx](https://github.com/pieceofcake2/cakephp/security/advisories/GHSA-x4p9-p4cx-gxwx))。古い バージョンなら更新してください。 ## cakephp2-xml-build-variable `['readFile' => false]` を付けずに、変数を `Xml::build()` に渡しています。 **なぜ危ないか。** `readFile` はデフォルトで `true` です。パスや URL (`http://`、`https://`) の文字列は読み込まれます。 リクエストの値なら、サーバーが攻撃者の URL (内部のネットワークやクラウドのメタデータのアドレスなど) を取得したり (SSRF)、ローカルのファイルを読んだりします。 ```php // 見つかる書き方 $xml = Xml::build($this->request->data('xml')); // 修正方法: XML の文字列だけ $xml = Xml::build((string)$this->request->data('xml'), ['readFile' => false]); ``` 2.12.3 より前の pieceofcake2/cakephp は、`['readFile' => false]` でも URL を取得していました ([GHSA-wgww-24w3-wfqp](https://github.com/pieceofcake2/cakephp/security/advisories/GHSA-wgww-24w3-wfqp))。2.12.3 以降に 更新してください。`Xml::build()` にデータの配列を渡す場合は、読み込まずに変換されます。そうした呼び出しの指摘は、 理由を書いて除外してください。 ## cakephp2-security-csrf-disabled `$this->Security->csrfCheck = false` か `$this->Security->validatePost = false` です。 **なぜ危ないか。** `SecurityComponent` の CSRF トークンは、フォームがサイトのページから送られたことを確かめます。 これがないと、ほかのサイトが、ログイン中のユーザーのブラウザにフォームを送らせられます。アカウントのメールアドレスや パスワードの変更、注文、データの削除などです (CSRF)。`validatePost` は、フォームの欄が足されたり変えられたりして いないことも確かめます (フォームの改ざん)。`beforeFilter()` で無効にすると、コントローラーのすべてのアクションで 無効になりがちです。 ```php // 見つかる書き方 public function beforeFilter() { parent::beforeFilter(); $this->Security->csrfCheck = false; } // 修正方法: ほかのサイトからのリクエストを受けるアクションだけ。Webhook など public function beforeFilter() { parent::beforeFilter(); $this->Security->unlockedActions = ['webhook']; } ``` - `unlockedActions` のアクションは、Webhook の署名など、リクエストを自分で確かめる必要があります。 - JavaScript が足したり変えたりする欄は、その欄だけを外します: `$this->Security->unlockedFields = ['Order.coupon'];`、 またはビューで `$this->Form->unlockField('Order.coupon')`。 - JavaScript (Ajax) のリクエストでは、チェックを無効にせず、フォームのトークン (`data[_Token][key]`) を読んで、データと 一緒に送ってください。 ## cakephp2-view-unescaped-output ビューで、変数を `h()` を通さずに `` や `` で出力しています。ビューとは、`templates/` と `View/` にある、ビューの拡張子のファイルです ([検査する範囲](https://pieceofcake2.github.io/security-sast/ja/index.md#検査する範囲))。 **なぜ危ないか。** HTML を含む値は、ブラウザで実行されます。名前、コメント、パラメーターの `