Sonarqube Java Path Traversal Attack ⇐ Java

[Guest]

Ich habe eine Methode zum Löschen von Dateien. Ich benutze Sonarqube für die statische Analyse meines Code

Code: Select all

private static void removeFile(MyClass someValue) {
Path filePath = Paths.get(someValue.getRootFolderPath(), someValue.getRelativePath());

if (!Files.exists(filePath)) {
LOG.warn("File does not exist", filePath.toAbsolutePath().toString());
return;
}

try {
Files.delete(filePath.getFileName());
LOG.debug("File " + someValue.getRelativePath() + " was deleted");
} catch (Exception e) {
String excMessage = "some info";
LOG.warn(excMessage, e);
}
}
< /code>

Sonar sagt: < /p>


Java /nio /Datei /paths.get ( Ljava/lang/string; [ljava/lang/string;) ljava/nio/file/path;
liest eine Datei, deren Speicherort möglicherweise durch Benutzereingabe 
< /blockquote>

Ich habe die Methode  Normalisierung hinzugefügt, um den Pfad -Traversal -Angriff zu verhindern. < /p>

Path filePath = Paths.get(someValue.getRootFolderPath(), someValue.getRelativePath()).normalize();
< /code>

Aber Sonar sagt mich immer noch über potenzielle Pfadverletzungen.  < /p>

mache ich etwas falsch oder es gibt eine bessere Lösung, um solche Angriffe zu verhindern, die Sonar entsprechen? < /p>

 upd < /strong>:
haben viele Möglichkeiten zur Lösung dieses Problems ausprobiert, und alle sind durch statische Analyse falsch. < /p>

Verletzlicher Code: 

Path filePath = Paths.get(FilenameUtils.getName(someValue.getFileName()));
Path filePath = Paths.get("some/path", FilenameUtils.getName(someValue.getFileName()));
Path filePath = Paths.get("some/path", FilenameUtils.getName(fileName));
Path filePath = Paths.get(FilenameUtils.getName(fileName));
File file = new File(someValue.getRootFolderPath(), someValue.getRelativePath());
File file = new File(someValue.getRootFolderPath(), FilenameUtils.getName(someValue.getFileName()));
File file = new File(FilenameUtils.getPath(someValue.getRootFolderPath()), FilenameUtils.getName(someValue.getFileName()));
File file = new File("some/path", FilenameUtils.getName(fileName));
File file = new File(FilenameUtils.getName(fileName));
File file = new File(FilenameUtils.getName("bla-bla-bla"));