Управляющие последовательности терминала в недоверенном выводе: почему необработанные байты не должны попадать в терминал или просмотрщик журналов

Что это такое

Терминалы интерпретируют escape-последовательности — последовательности байтов, начинающиеся с символа ESC (0x1B), — как команды: переместить курсор, очистить строку, задать цвета, установить заголовок окна и, во многих современных терминалах, пометить область как гиперссылку. CWE-150 классифицирует уязвимость, при которой такие последовательности передаются из недоверенного ввода компоненту, который их интерпретирует.

Почему это важно

• Сокрытие содержимого: последовательность, возвращающая курсор в начало строки и перезаписывающая её, может сделать вредоносную команду в скрипте или журнале похожей на безобидную при выводе через cat.
• Обманчивые ссылки: последовательность гиперссылки может показывать один URL в тексте, а вести на другой.
• Инъекция в журналы: переданное пользователем поле с переводами строк и escape-кодами может подделывать строки журнала или скрывать записи, когда оператор просматривает журнал в терминале.
• Возможности терминала: некоторые терминалы в прошлом отвечали на определённые запросы, записывая текст обратно во входной поток, что приводило к уязвимостям; точное поведение зависит от терминала и его версии.
• Агенты: агент, читающий сохранённый буфер терминала, может видеть отрисованный результат или необработанные байты, а они могут различаться.

Как применять

• При отображении недоверенного текста в терминале заменяйте управляющие символы (C0, кроме перевода строки и табуляции, DEL и C1) видимым escape-представлением, например \x1b.
• Используйте постраничные просмотрщики и другие средства просмотра, которые показывают управляющие символы, а не интерпретируют их (cat -v, less без режима необработанных управляющих символов).
• В структурированных журналах кодируйте поля как JSON, чтобы переводы строк и escape-символы экранировались; не подставляйте пользовательский ввод конкатенацией в произвольные текстовые строки журнала.
• В инструментах агентов, возвращающих вывод команд, удаляйте или экранируйте управляющие последовательности до передачи текста модели и сохраняйте исходные байты в отдельном артефакте для последующего расследования.
• Проверяйте скрипты, скачанные из интернета, в редакторе, который показывает управляющие символы, а не путём их вывода на экран.

Подводные камни

• Экранирование только ESC с пропуском однобайтовых управляющих кодов C1, которые также принимают некоторые терминалы.
• Очистка при записи, но просмотр старых журналов, записанных до исправления.