Атака обхода пути SonarQube Java ⇐ JAVA

[Anonymous]

У меня есть способ удаления файлов. Я использую SonarQube для статического анализа своего кода.

Код метода:

private static void removeFile(MyClass someValue) {
Path filePath = Paths.get(someValue.getRootFolderPath(), someValue.getRelativePath());

if (!Files.exists(filePath)) {
LOG.warn("File does not exist", filePath.toAbsolutePath().toString());
return;
}

try {
Files.delete(filePath.getFileName());
LOG.debug("File " + someValue.getRelativePath() + " was deleted");
} catch (Exception e) {
String excMessage = "some info";
LOG.warn(excMessage, e);
}
}


Сонар говорит:


java/nio/file/Paths.get(Ljava/lang/String;[Ljava/lang/String;)Ljava/nio/file/Path;
читает файл, местоположение которого может быть указано пользователем


Я добавил вызов метода normalize, чтобы предотвратить атаку с обходом пути.

Path filePath = Paths.get(someValue.getRootFolderPath(), someValue.getRelativePath()).normalize();


Но Сонар все еще говорит мне о потенциальных уязвимостях обхода пути.

Я делаю что-то не так или есть лучшее решение для предотвращения такого типа атак, которое подойдет Sonar?

UPD:
Я пробовал много способов решения этой проблемы, и все они неверны с помощью статического анализа.

Уязвимый код:

Path filePath = Paths.get(FilenameUtils.getName(someValue.getFileName()));
Path filePath = Paths.get("some/path", FilenameUtils.getName(someValue.getFileName()));
Path filePath = Paths.get("some/path", FilenameUtils.getName(fileName));
Path filePath = Paths.get(FilenameUtils.getName(fileName));
File file = new File(someValue.getRootFolderPath(), someValue.getRelativePath());
File file = new File(someValue.getRootFolderPath(), FilenameUtils.getName(someValue.getFileName()));
File file = new File(FilenameUtils.getPath(someValue.getRootFolderPath()), FilenameUtils.getName(someValue.getFileName()));
File file = new File("some/path", FilenameUtils.getName(fileName));
File file = new File(FilenameUtils.getName(fileName));
File file = new File(FilenameUtils.getName("bla-bla-bla"));


Подробнее здесь: https://stackoverflow.com/questions/492 ... sal-attack