【oam-tools】asys profiling 输出路径拼入 shell 命令

漏洞总结

• 漏洞类型：命令注入（CWE-78）
• 风险等级：高
• 影响范围：asys profiling
• 触发条件：攻击者可控制 --output 参数，且该路径包含 shell 元字符。
• 漏洞描述：profiling 命令使用 f-string 组装 msprof --output=... 字符串，并通过 subprocess.run(..., shell=True) 执行。--output 是命令行参数，拼接前未加引号、未转义、未参数化。

漏洞源码

• 相对路径：src/asys/profiling/asys_profiling.py
• 漏洞代码行数：L88-L90、L146

cmd = (f"msprof --output={self.output_path} --sys-period={str(self.period)} "
        f"--sys-devices={self.device_id} ")
...
ret = subprocess.run(cmd, shell=True, stdout=subprocess.PIPE, encoding='utf-8', env=os.environ)

源码说明：self.output_path 来自 ParamDict().get_arg("output")，之后只拼接时间戳目录名，没有进行 shell 参数隔离。

可能造成的影响

• 执行 profiling 的用户权限下发生任意命令执行。
• 窃取 profiling 主机上的系统信息、日志或访问凭据。
• 造成 profiling 任务失败或写入非预期目录。

修复建议

• 使用 subprocess.run(["msprof", f"--output={self.output_path}", f"--sys-period={self.period}", f"--sys-devices={self.device_id}", ...], shell=False)。
• 将每个 profiling 选项作为独立列表元素追加。
• 对输出路径做规范化和权限校验，但不要依赖转义来保证安全。