Rails の軌道を維持する：コードインジェクション攻撃の阻止

Ruby on Rails は、その使いやすさ、柔軟性、堅牢なエコシステムにより、Web アプリケーション開発のためのフレームワークとして人気を集めています。Rails は開発期間の短縮が可能であり、しかもクリーンでサポート可能なコードベースを維持できるため、組織の規模にかかわらず開発者は大きな魅力を感じています。GitHub、Shopify、Airbnb、Basecamp など多くの有名ブランドが Ruby on Rails を使用してプラットフォームを構築していることからも、テクノロジー業界における重要性は明らかです。

しかし、開発者を魅了する一方で、Rails は同じ理由によりサイバー攻撃者にとっても魅力的なターゲットとなっています。自動化されたプロセスが増え、また、アプリケーションの相互運用に対するニーズがさらに高まっているため、攻撃者が隠れる場所も生まれてしまうのです。Rails アプリケーションの保護は、この重要なプラットフォームに存在する機微な情報と事業運営を守るために不可欠です。

長年にわたり、Rails は重大なセキュリティの脆弱性と攻撃ベクトルに何度も直面してきました。 Open Worldwide Application Security Project（OWASP） が提供する Rails のセキュリティに関するチートシートを見れば、開発者とセキュリティチームは警戒を続けざるを得ないことがわかります。

Rails で最も注目される脆弱性は JSON や YAML データ形式の安全でないデシリアライゼーションに関するものです。 しかしながら、開発者の不注意によりアプリケーションとユーザーのデータが別の種類の攻撃にさらされる可能性もあり、その 1 つがコードインジェクションです。特に、Ruby 言語の「eval」関数には注意する必要があります。この関数は、文字列入力から Ruby コードを動的に生成します。攻撃者が制御する入力がこの関数に入り込んでしまうと、任意の Ruby コードが実行されるおそれがあります。

そのようなケースの例を紹介しましょう。

def calculate

  calc = params[:calc]

  result = eval(calc)

  render plain: result

End

 この非常に単純な例では calculate のアクションで calc パラメーターをユーザー入力から取り出しますが、その入力内容には数学演算（1+2など）が含まれています。そして Ruby の eval メソッドが使用され、数学演算の結果が返されます。この仕組みがコードインジェクションの脆弱性につながるのは、攻撃者が任意の Ruby コードを提供して実行させる可能性があるためです。

こうした脆弱性を利用するために、攻撃者は次のような悪性の Ruby コードを使用してリクエストに細工を施し、送ってくる可能性があります。

デコードされた形式：

このコマンドにより、システムの /etc/passwd ファイルの内容（システムユーザーに関する機密情報を含む）が読み取られます。末尾の # 記号は Ruby のコメントで、それ以降の内容はすべて無視され、コードの残りの部分から構文エラーが発生するのを防ぎます。

• 精度の向上：高度な検知手法によりコードインジェクションの試行を正確に識別してブロックし、フォールス・ポジティブ（誤検知）を最小限に抑え、正当なトラフィックへの影響を回避します

• 包括的な対応：さまざまなコード・インジェクション・ベクトルに幅広く対応して、Rails アプリケーションを強力に保護します