12

Eu queria fazer essa pergunta há muito tempo, mas vamos lá.


Veja esta resposta de 14/01/2016, que claramente faz o que não é recomendado, por motivos de segurança, isso é inclusive mencionado no manual. Porém ninguém comentou ou mencionou este problema, nem mesmo fui negativado nessa resposta. Posteriormente, recentemente, editei ela para que corrigir o problema.

Mas isso ocorre várias e várias vezes em várias situações, como por exemplo aqui, aqui, aqui, aqui, tudo isso é vulnerável pelo mesmo motivo, alguns eu comentei e disse aqui.

Estou fazendo essa publicação aqui após ver esta resposta em especifica, que por mim é totalmente quebrada, uma vez que o $codigo é justamente um base64_encode ou seja permite que sabendo o e-mail eu mesmo redefino a senha dele, mesmo que não tenha acesso ao respectivo e-mail. Afinal qualquer um pode fazer base64_encode($meu_email). Por mim esta resposta falha miseravelmente em seu objetivo.


Alguns dias atrás eu vi essa resposta, que me deixou um pouco grilado. O motivo é que o autor da pergunta utilizou /^[0-9]{9,11,13}$, note os ^ e $ enquanto a resposta aceita não, resolvi investigar um pouco isso. Cheguei a encontrar uma lista de vulnerabilidades/erros que podem ser cometidos no REGEX e juro que nunca tinha me dado conta dessas situações, nunca nem tinha ouvido falar de ReDoS por exemplo. A resposta (inclusive aceita pelo OP) faz com que 00000-0000;<script>alert()</script> seja um telefone válido. Isso seria um problema de segurança?!

Existem outros casos, que já vi por aí no site, que acredito que seja mais obscuro e que realmente podem ser ignorados em casos gerais ou dependem muito da aplicação, do contexto. Alguns casos acho que é aceitável como por exemplo comparar CSRF-Token usando === (ao invés de hash_equals() que seria o ideal). Alguns casos acredito que seja pouco conhecido e mais especifico como usar CURLOPT_FOLLOWLOCATION e não especificar o CURLOPT_PROTOCOLS quando se utilizar cURL, até corrigi algumas respostas minhas algum tempo atrás, ou usar OPENSSL_PKCS1_PADDING como padding (ao invés de usar OPENSSL_PKCS1_OAEP_PADDING), acredito difícil alguém notar estes problemas numa resposta por serem especificas.

Mas claro, isso é só um exemplo e obviamente estou longe de saber de todos os problemas que podem existir, tanto que até alguns dias atrás fazia REGEX totalmente errados.

A questão é justamente essa. Deve haver várias e várias respostas que deve estar cheias de problemas, mas ninguém parece ligar para isso e o autor das respostas/perguntas continuam sem saber que aquilo é um erro (ou que possui um problema iminente de segurança). E pior, as vezes tem votos positivos e é aceita como melhor resposta.

Acho estranho, uma melhor resposta, como essa minha, mencionada, é justamente a resposta que é insegura (a outra não tinha nenhum problema).


Queria saber de vocês, em geral do StackOverflow: O que fazer?

Ignorar e presumir que quem for utilizar aquele código já sabe de todo o seu comportamento e que não há problema algum nisso? Editar as perguntas para que corrija o problema quando possível? Negativar a respostas? Comentar o problema?

Eu "frequentemente" vejo alguns usuários comentando nas perguntas (ou até nas respostas) que o código "está vulnerável a MySQL Injection" por exemplo, acho que isso algo positivo. Acredito que com este "alerta" serve para pessoa reconhecer o problema e talvez corrigir. Mas, não vejo isso sendo feito em outros casos.

Ultimamente tento comentar quando vejo algum problema da resposta/pergunta ou as vezes respondo de alguma outra forma e menciono porque ela seria melhor. Mas não sei se isso é algo bom de ser feito e se é bem recebido, porque acredito que ninguém liga.

4
  • Acredito que o melhor sempre é presumir que quem respondeu desconhece tal problema com a segurança e comentar alertando, possivelmente criando outra resposta resolvendo o problema.
    – Woss
    Commented 5/08/2017 às 14:14
  • Obrigado pelo toque sobre segurança com regex. Pode comentar nas respostas mesmo, isso é bastante útil. Commented 6/08/2017 às 5:05
  • Não entendi como a expressão vulnerável, poderia permitir a injeção do script... Fiz um teste com o pattern do html5 e ele não válida a injeção, pode dizer algo a respeito?
    – MagicHat
    Commented 11/08/2017 às 13:58
  • Cross posts: meta soen meta soen2 metao
    – EMBarbosa
    Commented 17/08/2017 às 17:56

2 Respostas 2

11

Se o conteúdo é seu, melhore.

Se é de outro:

  • comente para o autor melhorar
  • deixe claro para quem for ele que há problemas ali
  • se está errado mesmo, não é só um detalhe desimportante, provavelmente deve negativar a resposta
  • quem sabe seja o caso de sinalizar como baixa qualidade
  • faça uma resposta melhor para os leitores terem uma alternativa
  • se for muito importante quem sabe seja o caso de mostrar isso no chat.

Em geral não acho bom mudar a intenção do autor, mesmo que ela seja errada.

Se o problema for muito pequeno dá para ignorar. Bom, dá para ignorar sempre, ninguém é obrigado fazer algo no site, mas estou entendendo que a pergunta se refere a quem quer contribuir positivamente.

código usa mysql_* ou que está vulnerável a MySQL Injection

Isto não é uma verdade tão absoluta assim, mas não vem ao caso aqui.

1
  • 1
    Eu concordo com quase tudo (+1). A única coisa que não entendi é "sinalizar como baixa qualidade". Pelo post linkado, a sinalização de "baixa qualidade" atualmente não corresponde ao sentido mais amplo. Então acho dispensável fazer isso. É preferível comentar e negativar.
    – EMBarbosa
    Commented 17/08/2017 às 17:50
2

Eu entendo sua preocupação. Porém em muitos casos a necessidade de uma solução paliativa é tão grande, que o desenvolvedor prefere resolver o problema mesmo com falhas de segurança. Fora que não tem como corrigir o problema das respostas de todo mundo. Isso cabe à comunidade. As vezes o autor da resposta não faz a mínima ideia que a solução que ele está propondo tem falhas na segurança.

2
  • 1
    "Fora que não tem como corrigir o problema das respostas de todo mundo. Isso cabe à comunidade."... ué... ele não é parte da comunidade? Então cabe a ele também.
    – EMBarbosa
    Commented 17/08/2017 às 17:42
  • Concordo plenamente! Commented 17/08/2017 às 22:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .