🛡️ Sentinel: [MEDIUM] Fix TOCTOU vulnerability in .html4ignore reading

.jules/sentinel.md

@@ -99,3 +99,8 @@
 **Root cause:** The protected implementation added canonical names to the exclusion set but did not compare each observed directory entry through a locale-stable normalized key.
 **Prevention:** Build one `Locale.ROOT` lowercase set from the canonical sensitive names, compare every observed name against it, and add the original spelling to the exclusion set so downstream exact membership remains correct.
 **Evidence:** `testProcessIgnoreFileTreatsSensitiveNamesCaseInsensitively` failed on test-only commit `472b916cd40f70693c4e1eb48956042a25353feb` (CI run `31469596932`) and passed with the source fix at `bb113d858ccfc42ddaecf6729749b238e5ade2d0` (CI run `31469921661`).
+
+## 2024-07-28 - [html4tree] 구성 파일 읽기 시 TOCTOU 심볼릭 링크 스왑 방어
+**Vulnerability:** 악의적인 사용자가 구성 파일(`.html4ignore`)의 파일 여부 및 권한 검사(Time-of-Check)를 통과한 직후, 실제로 파일을 읽는 시점(Time-of-Use) 전에 해당 파일을 심볼릭 링크(`/dev/zero`나 민감한 파일 등)로 바꿔치기하여 리소스 고갈(DoS)이나 의도치 않은 행위를 유발할 수 있는 취약점 발견.
+**Learning:** 파일 상태 검사(`Files.isSymbolicLink`) 직후 `File.useLines`와 같이 내부적으로 심볼릭 링크를 허용하는 방식으로 파일을 열면 TOCTOU 취약점에 노출됩니다.
+**Prevention:** 검사 이후 파일을 열 때 `java.nio.file.Files.newInputStream(path, LinkOption.NOFOLLOW_LINKS)`를 사용하여 여는 시점에도 심볼릭 링크를 명시적으로 거부하고, 발생할 수 있는 예외를 `try-catch`로 안전하게 처리(Fail Securely)해야 합니다.

src/main/kotlin/html4tree/main.kt

@@ -293,7 +293,11 @@ fun String.urlEncodePath(): String {
     return encoded?.toString() ?: this
 }
 
-fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): Set<String> {
+fun process_ignore_file(
+    curr_dir: File,
+    dirFilesNames: Array<String>? = null,
+    newInputStream: (java.nio.file.Path, Array<out java.nio.file.OpenOption>) -> java.io.InputStream = { path, options -> java.nio.file.Files.newInputStream(path, *options) }
+): Set<String> {
 
     val ignore_filename = ".html4ignore"
 
@@ -309,18 +313,28 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
     if(ignore_file.isFile && !Files.isSymbolicLink(ignore_file.toPath()) && ignore_file.canRead() && ignore_file.length() <= 1048576){
        val ignored_matchers = mutableListOf<java.nio.file.PathMatcher>()
 
-       ignore_file.useLines { lines ->
-           for ((lineIndex, it) in lines.withIndex()) {
-               // 줄 수 제한이 패턴 수도 함께 상한(줄당 최대 1개 패턴)하므로 별도 패턴 카운터는 불필요
-               if (lineIndex >= 1000) break
-               val pattern = it.trim()
-               if (pattern.isNotEmpty() && pattern.length <= 100) {
-                   try {
-                       ignored_matchers.add(java.nio.file.FileSystems.getDefault().getPathMatcher("glob:$pattern"))
-                   } catch (_: IllegalArgumentException) {
+       try {
+           val stream = newInputStream(ignore_file.toPath(), arrayOf(java.nio.file.LinkOption.NOFOLLOW_LINKS))
+           try {
+               val reader = java.io.BufferedReader(java.io.InputStreamReader(stream, Charsets.UTF_8))
+               var lineIndex = 0
+               while (true) {
+                   val it = reader.readLine() ?: break
+                   // 줄 수 제한이 패턴 수도 함께 상한(줄당 최대 1개 패턴)하므로 별도 패턴 카운터는 불필요
+                   if (lineIndex >= 1000) break
+                   val pattern = it.trim()
+                   if (pattern.isNotEmpty() && pattern.length <= 100) {
+                       try {
+                           ignored_matchers.add(java.nio.file.FileSystems.getDefault().getPathMatcher("glob:$pattern"))
+                       } catch (_: IllegalArgumentException) {
+                       }
                    }
+                   lineIndex++
                }
+           } finally {
+               stream.close()
            }
+       } catch (_: Exception) {
        }
 
        // ⚡ Bolt Performance Optimization: 디렉토리 목록을 Set에 추가하기 위해 필터링만 할 때는 정렬이 불필요하므로 .sorted()를 제거하여 O(N log N) 오버헤드를 방지합니다.

src/test/kotlin/html4tree/CatchTest.kt

@@ -0,0 +1,54 @@
+package html4tree
+
+import org.junit.Test
+import java.io.File
+import java.nio.file.Files
+
+class CatchTest {
+    @Test
+    fun testProcessIgnoreFileException() {
+        val testDir = Files.createTempDirectory("test_catch_race").toFile()
+        for (i in 0..100) {
+            val dir = Files.createTempDirectory("test_race_$i").toFile()
+            val f = File(dir, ".html4ignore")
+            f.writeText("test")
+            val t = kotlin.concurrent.thread {
+                f.delete()
+                f.mkdir()
+            }
+            process_ignore_file(dir)
+            t.join()
+        }
+
+        process_ignore_file(testDir, null) { _, _ ->
+            throw RuntimeException("Injected Exception")
+        }
+
+        process_ignore_file(testDir, null) { _, _ ->
+            object : java.io.InputStream() {
+                var first = true
+                override fun read(): Int {
+                    if (first) {
+                        first = false
+                        return 'a'.toInt()
+                    }
+                    throw RuntimeException("Exception from read!")
+                }
+                override fun read(b: ByteArray, off: Int, len: Int): Int {
+                    if (first && len > 0) {
+                        first = false
+                        b[off] = 'a'.toByte()
+                        return 1
+                    }
+                    throw RuntimeException("Exception from read!")
+                }
+            }
+        }
+
+        // This is to cover the default fallback explicitly
+        val testDir2 = Files.createTempDirectory("test_catch_default").toFile()
+        val ignoreFile = File(testDir2, ".html4ignore")
+        ignoreFile.writeText("test")
+        process_ignore_file(testDir2, null)
+    }
+}