escapeshellarg document root for security reasons (fixes #3984)

Pascal Dreissen

2016-07-08 e8dda462f3b02628b4d878ed2c133f1f04d26a50

 server/plugins-available/apache2_plugin.inc.php

@@ -884,7 +884,7 @@
         }
            
          // get the primitive folder for document_root and the filesystem, will need it later.
          $df_output=explode(" ", exec("df -T $document_root|awk 'END{print \$2,\$NF}'"));
          $df_output=explode(" ", exec("df -T " . escapeshellarg($data['new']['document_root']) . "|awk 'END{print \$2,\$NF}'"));
          $file_system = $df_output[0];
          $primitive_root = $df_output[1];

@@ -1207,8 +1207,8 @@
         if(is_array($aliasdomains)) {
            foreach($aliasdomains as $aliasdomain) {
               $temp_domains[] = $aliasdomain['domain'];
               if(isset($aliasdomain['subdomain']) && ! empty($aliasdomain['subdomain'])) {
                  $temp_domains[] = $aliasdomain['subdomain'] . "." . $aliasdomain['domain'];
               if(isset($aliasdomain['subdomain']) && ($aliasdomain['subdomain'] != "none")) {
                  $temp_domains[] = "www." . $aliasdomain['domain'];
               }
            }
         }
@@ -1236,7 +1236,8 @@
            $app->log("Create Let's Encrypt SSL Cert for: $domain", LOGLEVEL_DEBUG);
            
            $success = false;
            $letsencrypt = array_shift( explode("\n", shell_exec('which letsencrypt certbot /root/.local/share/letsencrypt/bin/letsencrypt')) );
            $letsencrypt = explode("\n", shell_exec('which letsencrypt certbot /root/.local/share/letsencrypt/bin/letsencrypt'));
            $letsencrypt = reset($letsencrypt);
            if(is_executable($letsencrypt)) {
               $success = $this->_exec($letsencrypt . " certonly -n --text --agree-tos --expand --authenticator webroot --server https://acme-v01.api.letsencrypt.org/directory --rsa-key-size 4096 --email postmaster@$domain --domains $lddomain --webroot-path /usr/local/ispconfig/interface/acme");
            }