#637 [security][tools] Bash でオプションにより作業ディレクトリを変える形と、- で始まる pushd の行き先を検査する

[Kewton]

概要

Bash の閉じ込めの検査に、既存の見逃しが 3 つありました（#613・#635 のレビューと、着手前調査 H-14 で発見）。

1. オプションで作業ディレクトリを変える形：tar -C sub -cf - lf2、git -C sub log lf2、env -C sub cat lf2、sudo -D sub cat lf2 などは、作業ディレクトリの検査を通らず、その後の / のない相対パスが確かめられていませんでした。値のディレクトリの中に外向きの symlink があると、それを通して外を読めました。
2. - で始まる pushd の行き先：pushd -- -s2 && cat lf7 で、-- の後の -s2 がスタックの番号として読み飛ばされていました。
3. 拒否の理由の文：glob の行き先（cd 's2*' && cat lf4）の拒否で、理由の path が行き先ではなく、後のコマンドの名前（cat）になっていました。

この PR は、Issue 本文の設計 1〜3 どおりに直します。

変更（5 ファイル、+584/−11）

• src/tools/bash_write_guard/option_directory.rs（新規、+259）
  • 作業ディレクトリを変えるオプションの表と、値の取り出しだけを持つ leaf module。
  • 表は 19 プログラム：tar・gtar・bsdtar・make・gmake・git（サブコマンドより前だけ）・env・sudo・ninja・go・cargo・pnpm・poetry・yarn・bun・npm・uv・just・patch。
  • 値の形は -C dir、-Cdir、--directory=dir、--directory dir。-- の後は見ない。
  • 語の basename で照合するので、前置き（nice・sudo・env など）の後にあっても見つかる。
  • module の文書に、表と、表に無いプログラムの扱い（今のまま）を書いた。
• src/tools/bash_write_guard/working_directory.rs（+89/−10）
  • 取り出した値を、cd の行き先と同じ扱いで作業ディレクトリの候補に足す。置き換えはしない（[security][tools] Bash の書き込み検査が同じコマンドの cd・pushd の後の cwd を追わず、symlink を通ってワークスペース外へ書き込める（#509 の調査で発見） #568 の設計）。上限の印も cd と同じ。
  • 値が決められない形（glob・brace・$・`・~・..・空）は、[security][tools] Bash の cd・pushd の行き先が 1 つに一致する glob だと作業ディレクトリが検査されず、外を読み書きできる（#613 のレビューで発見） #635 の glob の行き先の印を立てる。
  • -- を含む pushd は、+・- で始まる語も行き先にする。pushd -1・pushd +0（-- なし）は今どおり。
  • 印を立てた語を Inspection に記録する。
• src/tools/bash.rs（+8/−1）：「決められない」の拒否の理由の path に、記録した行き先の語を使う。
• src/tools/bash_write_guard.rs（+1）：mod option_directory; の 1 行だけ。
• tests/issue637_bash_option_working_directory.rs（新規、+227）
  • 本文の表の 32 形、pushd -- の読み取りと書き込み、理由の path を確かめる。
  • ワークスペースの中の形と、表に無いプログラムが変わらないことを確かめる。
  • fixture は CARGO_TARGET_TMPDIR の下の一時ディレクトリの中だけ。shell は起動しない。
• 変えていないもの：event の名前と schema、[security][tools] Bash の 2 段目の path 検査が、$・glob・動的な値で静的な相対パスや展開先を確かめず、ワークスペース外を読める（#571 を統合） #582 の corpus の表、ほかの Issue の試験。

検証

• commandmate verify の 15 ゲート：develop 88d5a0db を取り込んだ HEAD で 15/15 pass（b654b236、scope 5 本、違反 0）。
• TMPDIR=/tmp cargo test --test issue637_bash_option_working_directory --test issue635_bash_glob_cd_destination --test issue568_bash_cwd_write_targets --test issue582_bash_read_candidates --test issue641_bash_brace_home（CI と同じ条件を作るため）：exit 0、7 passed・0 failed、28 passed・0 failed、7 passed・0 failed、6 passed・0 failed、4 passed・0 failed（issue568・issue582・issue635・issue637・issue641 の順）。
• 二点測定（develop b506fbdf の src に、この PR のテストを足した）
  • 新しい形のテスト 4 本だけが FAIL した。
    • tar -C sub -cf - lf2 が拒否されない。
    • pushd -- -s2 && cat lf7 が拒否されない。
    • その書き込みの形が拒否されない。
    • cd 's2*' && cat lf4 の理由の path が cat になる。
  • 許可のままの形と、表に無いプログラムの扱いを確かめる 2 本は、develop でも pass した。
• 変異テスト（cargo mutants --jobs 1、--in-diff、--lib と結合テスト 4 本）
  • 1 回目は 69 件：caught 50・missed 3・timeout 10・unviable 6。
  • 許可が増える向きの missed は 1 件だった。候補の上限の比較 > を == にしても通った（候補の数が 64 を踏まずに超えると、上限の印が立たない）。テストを足して直し、2 回目で caught になった。
  • 残る missed 2 件は、どちらも厳しくする向き。
    • 上限の比較の > を >= にする変異：ちょうど 64 で印が立つだけ。
    • - 1 文字の語をオプションとして読み進める変異：-C を余分に拾うだけ。
  • timeout 10 件は、走査の index の変異が無限ループになったもので、検出扱い。
• merge 前レビュー（H-16）：merge 可、blocker 0。
  • 判定の関数を fixture で呼んだ probe と corpus の 2,272 行を、2 組で比べた。
    • base b506fbdf → HEAD
    • base → develop 88d5a0db（[security][tools] Bash の閉じ込めの検査が、brace の展開から出てくる ~ を確かめず、home の一覧を読める（#628 のレビューで発見） #641 入り）＋[security][tools] Bash でオプションにより作業ディレクトリを変える形（tar -C・git -C など）と、- で始まる pushd の行き先が検査されない（#613・#635 のレビューで発見） #637
  • どちらの組でも、R・A・W・P・S が 1→0 の行と、V が 0→1 の行は 0 件。
  • 変わった行は、すべて R か W が 0→1（厳しい向き）。P・S・V の列は 1 行も変わっていない。
  • 前置き、引用、絶対パスのプログラム名、値が決められない形、候補の上限、pushd -- の 11 変種でも、設計どおり拒否された。

意図した誤拒否

• 足した候補は、cd と同じく後の segment にも残る。git -C sub status; cat lf2 は拒否される。root に lf2 は無いが、sub/lf2 が外向き symlink のため。本文の見積りで、記録の 436 件のうち新しく拒否されるのはこの型だけ。
• 表のプログラムの名前の語はどこにあっても走査するので、echo tar -C sub; cat lf2 も拒否される。どちらも、足した候補の先に外向き symlink があるときだけ起きる。
• git -C sub status、make -C sub test、tar -C sub -cf - f、tar -C sub -xf a.tar、env -C sub cat f、git commit -C HEAD、npm --prefix sub test、cargo -C sub test は許可のまま。grep -C 3、diff -C 3、git log -C sub も変わらない。

この PR では直していない既存の穴（どれも #637 の前から R=0 で、この PR で緩んではいない）

• 表の形の綴りの変種（H-16 の後続の候補。別の Issue で扱う）
  • 長いオプションの省略形：tar --dir=sub …、make --dir=sub …、env --ch=sub …。
  • まとまりの中で、値をとる別のオプションが C を値として食う形：tar -cfC -C sub lf2。
  • git の値をとる全体のオプションが先にある形：git -c k=v -C sub log lf2、git --git-dir x -C sub …。
• 表に無いプログラム（npm -C、unzip -d など）と find -execdir：本文どおり範囲の外。
• 引用やエスケープで字どおりにした括弧の行き先の誤拒否（元の本文の 4）：[tools] Bash で引用した字どおりの括弧のディレクトリへ cd する形（Next.js の [id]）が誤って拒否される（#635 の意図した誤拒否、#637 から分離） #643 で扱う。

Refs #637

🤖 Generated with Claude Code