Shell-Injection-Schwachstellen in Unix-Hilfsprogrammen

Viele Unix-Hilfsprogramme verwenden die Funktion `system(3)`, um externe Befehle auszuführen, was zu potenziellen Shell-Injection-Schwachstellen führt. Dieser Artikel untersucht dieses Problem eingehend, analysiert das Verhalten von `system(3)`, `sh -c` und verschiedenen Tools wie `watch`, `ssh` und `i3` und zeigt, wie Shell-Metazeichen verwendet werden können, um Sicherheitsmaßnahmen zu umgehen. Der Autor plädiert dafür, `system(3)` zu vermeiden und bietet Mitigationstechniken wie die Verwendung von `exec --` und die korrekte Anführung und Escaping an. Letztendlich fordert der Artikel Entwickler auf, diese Sicherheitsschwachstellen in ihren Tools zu beheben.