pbi-cli Desktop auto-sync command injection via unsanitized .pbip path (CWE-78)

脆弱性概要 タイトル: pbi-cli Desktop の自動同期が未検証の .pbip パスを cmd.exe に渡すことで、プロジェクトパス内のメタ文字を用いたコマンドインジェクションを許可する レポート者: HainD (Nguyen Dinh Hai)、Post and Telecommunication Institute of Technology、github.com/HainD03 プロジェクト: MinaSaad1/pbi-cli (pbi-cli-tool)、レポートレイヤーにおける Windows Power BI Desktop の自動同期 影響を受けるバージョン: リリース版 v3.12.0 (c8655cb0a131e2ce87ae5e138099499969826af, 2026-09-18) 及び現在の master (05af308effcfe48762bce29aec6446dfr75e03c)、同一のシンク。それ以前の範囲は二分探索されていない 脆弱性タイプ: CWE-78: OS コマンドで使用される特殊要素の不適切な中和 概要: pbi-cli はレポート変更の同期後に Power BI Desktop プロジェクトを再開します。これは を呼び出すことで実現され、 は Power BI Desktop プロセスのコマンドラインから読み取られ、シェルのメタ文字が一切検証されていません。Windows 上で CPython はリスト引数に対してコマンドラインを構築する際に を使用しますが、この関数は空白を含まない引数に引用符を付加しません。 パスに などの メタ文字が含まれ、かつ空白を含まない場合、そのパスは引用符なしの引数としてコマンドライン上に配置され、 は をコマンド区切り文字として解析します。攻撃者が提供した プロジェクトを、 とプログラム名を含むパスから開いた後、デフォルトの自動同期付きの通常の pbi-cli レポート書き込みを実行すると、そのプログラムは被害者の Windows アカウントで実行されます。弱点は CWE-78 です。ローカルでの実行であり、ユーザーインタラクションを必要とし、オプションの 依存関係（pywin32）が必要です。 影響範囲 ローカルコマンド実行: 被害者が攻撃者に操作された プロジェクトを開き、デフォルトの自動同期付きの通常の pbi-cli レポート書き込みを実行すると、攻撃者が選択したプログラムが被害者の Windows アカウントで実行されます。 条件: - pbi-cli に 拡張機能（pywin32）がインストールされている。pywin32 がない場合、同期パスは手動指示を返すだけで、脆弱性のポイントには到達しない。 - Power BI Desktop が実行中で、そのプロセスコマンドラインに プロジェクトパスが存在する。 - シェルまたはダブルクリックで記録ファイルが起動される。[ファイル] > [開く] では記録されない可能性が高いが、Issue #25 に該当する。 - レポートレイヤーへの書き込みがデフォルトの自動同期付きであるか、明示的に が実行される。 - プロジェクトパスに メタ文字が含まれ、空白を含まず、被害者が攻撃者が提供した プロジェクトを開くよう誘導される。 修正方針 具体的な修正箇所: 、 修正提案: 短期的: の呼び出しを （または pywin32 経由の ）に置換する。これにより のコマンドラインが構築されなくなる。 中期的: 再開する前に パスを検証し、 拡張子を持つ既存ファイルであることを要求し、 のいずれかを含むパスを拒否する。この値はプロセスコマンドラインから取得されるため信頼できず、ユーザーが制御できない可能性があるため、信頼できない値として扱う。 ディフェンス・イン・ディプス: 回帰テストを追加し、 を含むプロジェクトパスが 2 番目のコマンドを実行せずに再開されることを確認し、 操作対象のパスをシェルの解釈から遠ざける。 POC コード 修正後のコード:

目標達成すべての支援者に感謝 — 100%達成しました！

pbi-cli Desktop auto-sync command injection via unsanitized .pbip path (CWE-78)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

pbi-cli Desktop auto-sync command injection via unsanitized .pbip path (CWE-78)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！