Terminal-Escape-Sequenzen in nicht vertrauenswürdiger Ausgabe: warum rohe Bytes weder ein Terminal noch einen Log-Viewer erreichen sollten

Worum es geht

Terminals interpretieren Escape-Sequenzen — Byte-Folgen, die mit dem ESC-Zeichen (0x1B) beginnen — als Befehle: den Cursor bewegen, eine Zeile löschen, Farben setzen, den Fenstertitel setzen und in vielen modernen Terminals einen Bereich als Hyperlink markieren. CWE-150 klassifiziert die Schwachstelle, solche Sequenzen aus nicht vertrauenswürdiger Eingabe an eine Komponente weiterzugeben, die sie interpretiert.

Warum es wichtig ist

• Inhalte verbergen: Eine Sequenz, die den Cursor an den Zeilenanfang zurücksetzt und ihn überschreibt, kann einen bösartigen Befehl in einem Skript oder Protokoll harmlos erscheinen lassen, wenn er mit cat ausgegeben wird.
• Irreführende Links: Eine Hyperlink-Sequenz kann als Text eine URL anzeigen, während sie auf eine andere verweist.
• Log-Injektion: Ein von einer nutzenden Person stammendes Feld mit Zeilenumbrüchen und Escape-Codes kann Protokollzeilen fälschen oder Einträge verbergen, wenn eine bedienende Person das Protokoll in einem Terminal betrachtet.
• Terminal-Funktionen: Manche Terminals beantworteten historisch bestimmte Abfragen, indem sie Text zurück in die Eingabe schrieben, was zu Schwachstellen geführt hat; das genaue Verhalten hängt vom Terminal und dessen Version ab.
• Agenten: Ein Agent, der einen aufgezeichneten Terminal-Puffer liest, sieht möglicherweise das gerenderte Ergebnis oder die rohen Bytes, und beide können sich unterscheiden.

So wird es angewendet

• Beim Anzeigen nicht vertrauenswürdigen Texts in einem Terminal Steuerzeichen (C0 ausser Zeilenumbruch und Tabulator, DEL und C1) durch eine sichtbare Escape-Darstellung wie \x1b ersetzen.
• Pager und Viewer verwenden, die Steuerzeichen anzeigen, statt sie zu interpretieren (cat -v, less ohne die Option für rohe Steuerzeichen).
• In strukturierten Protokollen Felder als JSON kodieren, sodass Zeilenumbrüche und Escapes maskiert werden; keine Nutzereingaben in Freitext-Protokollzeilen verketten.
• Bei Agenten-Werkzeugen, die Befehlsausgaben zurückgeben, Steuersequenzen entfernen oder maskieren, bevor der Text das Modell erreicht, und die rohen Bytes für forensische Zwecke in einem separaten Artefakt aufbewahren.
• Aus dem Internet heruntergeladene Skripte in einem Editor prüfen, der Steuerzeichen anzeigt, statt sie einfach auszudrucken.

Stolpersteine

• Nur ESC zu maskieren und dabei die einzelbytigen C1-Steuercodes zu übersehen, die manche Terminals ebenfalls akzeptieren.
• Beim Schreiben zu bereinigen, aber alte Protokolle zu betrachten, die vor der Behebung geschrieben wurden.