V7.3.1 Log Protection

Requirement:

Verify that all logging components appropriately encode data to prevent log injection. (C9)

Explanation:

Приложения обычно используют файлы журналов для хранения истории событий или транзакций для последующего просмотра, сбора статистики или отладки. В зависимости от характера приложения, задача просмотра файлов журналов может выполняться вручную по мере необходимости или автоматизироваться с помощью инструмента, который автоматически собирает журналы для поиска важных событий или информации о тенденциях.

Запись вредносного пользовательского ввода в файлы журналов может позволить злоумышленнику подделать записи журнала или внедрить вредоносное содержимое в журналы. Это называется Log Injection.

Уязвимости Log injection возникают, когда:

• Данные попадают в приложение из ненадежного источника
• Эти данные записываются в файл журнала приложения или системы.

Успешные атаки на внедрение журнала могут привести к:

• Ввод новых/запущенных событий журнала (подделка журнала через Log Injection).
• Инъекция XSS-атак в надежде, что вредоносное событие журнала будет просмотрено в уязвимом веб-приложении.
• Инъекция команд, которые могут быть выполнены парсерами (например, парсерами PHP)

Remediation:

Ключ к предотвращению Log Injection состоит из двух частей:

• Выполняйте проверку ввода: Ограничьте набор символов и формат, чтобы они соответствовали вашим требованиям, и отклоняйте любой ввод, который не соответствует ожидаемым.  Выполняйте проверку ввода как на клиенте, так и на сервере (в зависимости от ситуации).
• Нейтрализуйте проблемные символы: Следующие символы должны быть "экранированы" или заменены, когда они появляются во входных данных, которые записываются в файлы/записи журнала:

Символ	Название
\r	Carriage Return
\n	Newline
0x8 (octal 8)	Backspace
<	Less than
>	Greater than
&	Ampersand
“	Quote
‘	Apostrophe

Additional:

Improper Output Neutralization for Logs (mitre.org)

OWASP Logging

Log Injection (OWASP)