Sequências de escape de terminal em saídas não confiáveis: por que bytes brutos não devem chegar a um terminal ou a um visualizador de logs

O que é

Os terminais interpretam sequências de escape (sequências de bytes que começam com o caractere ESC, 0x1B) como comandos: mover o cursor, apagar uma linha, definir cores, definir o título da janela e, em muitos terminais modernos, marcar uma região como hiperlink. A CWE-150 classifica como fraqueza o repasse dessas sequências, vindas de entrada não confiável, a um componente que as interpreta.

Por que importa

• Ocultação de conteúdo: uma sequência que leva o cursor de volta ao início da linha e sobrescreve o texto pode fazer um comando malicioso, presente em um script ou log, parecer inofensivo quando impresso com cat.
• Links enganosos: uma sequência de hiperlink pode exibir uma URL como texto enquanto aponta para outra.
• Injeção em logs: um campo fornecido pelo usuário que contenha quebras de linha e códigos de escape pode forjar linhas de log ou esconder entradas quando um operador visualiza o log no terminal.
• Recursos do terminal: alguns terminais, historicamente, respondiam a certas consultas escrevendo texto de volta na entrada, o que já levou a vulnerabilidades; o comportamento exato depende do terminal e da sua versão.
• Agentes: um agente que lê o buffer capturado de um terminal pode ver o resultado renderizado ou os bytes brutos, e os dois podem ser diferentes.

Como aplicar

• Ao exibir texto não confiável em um terminal, substitua os caracteres de controle (C0, exceto nova linha e tabulação, além de DEL e C1) por uma representação visível, como \x1b.
• Use paginadores e visualizadores que mostrem os caracteres de controle em vez de interpretá-los (cat -v, less sem a opção de exibir controles brutos).
• Em logs estruturados, codifique os campos como JSON, para que quebras de linha e escapes fiquem entre aspas; não concatene entrada do usuário em linhas de log de texto livre.
• Em ferramentas de agentes que devolvem a saída de comandos, remova ou escape as sequências de controle antes que o texto chegue ao modelo e guarde os bytes brutos em um artefato separado para análise forense.
• Revise scripts baixados da internet em um editor que mostre caracteres de controle, e não imprimindo-os no terminal.

Armadilhas

• Escapar apenas o ESC e deixar passar os códigos de controle C1 de um único byte, que alguns terminais também aceitam.
• Sanitizar na escrita, mas visualizar logs antigos, gravados antes da correção.