Pfadmanipulation

Pfadmanipulation bezeichnet eine Gruppe von Sicherheitslücken, bei denen Angreifer Eingaben, die Dateipfade enthalten, so manipulieren, dass sie auf Dateien oder Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen können. Solche Angriffe treten häufig in Webanwendungen auf, die Dateinamen, Dateiuploads, Dateidownloads oder dynamische Inkludierungen von Dateien verarbeiten.

Typische Techniken umfassen die Verwendung von Verzeichnis-Traversal-Sequenzen wie ../, URL-Encoding, doppelte Kodierung sowie der Ausnutzung von symbolischen Links oder fehlerhafter Pfadnormalisierung. Wenn eine Anwendung Benutzereingaben direkt als Pfad für Dateizugriffe oder Inkludierungen verwendet, kann der Angreifer sensible Systemdateien, Konfigurationsdateien oder Protokolldateien lesen oder manipulieren. In manchen Fällen lässt sich Pfadmanipulation mit Dateizugriff oder Code-Injektion kombinieren, insbesondere wenn Inhalte aus externen Dateiquellen eingefügt oder ausgeführt werden.

Betroffene Bereiche sind Webserver, Content-Management-Systeme, Frameworks, Backend-APIs sowie Programmiersprachen wie PHP, Python, Java oder Ruby, in denen Benutzereingaben in Dateipfade übersetzt werden. Schutzmaßnahmen sind entscheidend, da Pfadmanipulation zu Informationsverlust, Datenexfiltration oder unerlaubter Ausführung von Code führen kann.

Schutzmaßnahmen umfassen robuste Eingabevalidierung und Pfadnormalisierung, etwa durch Realpath oder ähnliche Funktionen, sowie die Prüfung, dass der aufgelöste Pfad innerhalb eines festgelegten Basispfads liegt. Weitere Maßnahmen sind Whitelisting zulässiger Dateinamen, die Nutzung sicherer APIs, die Dateizugriffsberechtigungen strikt zu setzen, das Vermeiden von Including- oder Open-Funktionen mit Benutzereingaben, sowie gegebenenfalls Chroot-Jails oder Containerisierung und umfassendes Logging sowie regelmäßige Sicherheitstests.