POSIX wordexp(3)는 위험함

wordexp(3) 는 C에서 셸 스타일 확장을 수행하는 POSIX API로, 물결표 경로 확장에 자주 권장되지만 기본적으로 명령 치환까지 활성화함 wordexp(input, &p, 0)처럼 플래그를 0으로 지정하면 $(whoami)/foo나 $(cat /etc/passwd)/foo에 들어 있는 명령도 실행될 수 있음 명령 치환을 막으려면 WRDE_NOCMD 플래그가 필요하지만, 일부 libc 구현에서는 이 플래그만으로 충분하지 않음 musl과 macOS libc는 확장 처리를 외부 셸이나 헬퍼에 위임하며, 명령 치환 차단을 우회하는 문제가 있었음. macOS의 현재 우회 가능 여부는 확인하지 않음 신뢰할 수 없는 입력에는 WRDE_NOCMD를 지정하더라도 wordexp(3)를 사용하지 않아야 함 물결표 확장에 숨어 있는 명령 실행 wordexp(3)는 C에서 셸 스타일 확장을 수행하는 POSIX API이며, ~/foo를 /home/me/foo로 바꾸는 용도로 자주 권장됨 예제의 expand_tilde 함수는 wordexp(input, &p, 0) 을 호출하고, 성공하면 첫 번째 확장 결과인 p.we_wordv[0]을 복제한 뒤 wordfree로 해제함 마지막 인수는 플래그이며, 0을 전달하면 명령 치환을 포함한 모든 확장 기능이 기본 활성화됨 expand_tilde("$(whoami)/foo", &expanded)는 whoami 명령을 실행할 수 있음 expand_tilde("$(cat /etc/passwd)/foo", &expanded)는 cat /etc/passwd 명령을 실행할 수 있음 명령 치환을 비활성화하려면 WRDE_NOCMD를 전달해야 하지만, 일부 libc 구현에서는 미봉책에 그침 구현별 우회 문제와 사용 제한 musl의 구현은 처리를 시스템 셸에 위임하기 전에 명령 치환을 간단히 검사함 이 검사는 GNU Bash 같은 하위 셸이 유효한 명령 치환으로 처리할 수 있는 일부 패턴을 잡아내지 못함 macOS libc의 구현도 비슷하게 /usr/lib/system/wordexp-helper에 위임함 Julian Squires의 2023년 기록에 따르면 당시 musl과 동일한 우회가 가능했음 기본 macOS 셸이 bash 대신 zsh인 현재도 우회가 유효한지는 직접 테스트하지 않음 과거에는 Perl을 외부 실행했으며, wordexp-helper는 이를 대체한 현대적 방식으로...