V7.4.3 Error Handling

Requirement:

Verify that all logging components appropriately encode data to prevent log injection.

Explanation:

Log Injection - это метод, при котором злоумышленник внедряет вредоносные данные в файлы журналов в попытке нарушить безопасность системы. Это может включать в себя внедрение команд, SQL-запросов или других типов вредоносного кода, который может быть выполнен системой при обработке журналов.

Для предотвращения Log Injection важно, чтобы все компоненты протоколирования надлежащим образом кодировали данные перед их записью в файл журнала. Кодирование данных означает преобразование их в формат, который можно безопасно хранить в файле журнала, не создавая угрозы безопасности.

Remediation:

Для выполнения данного требования необходимо выполнить следующие действия:

• Проверяйте все вводимые пользователем данные, включая данные, вводимые в формы и URL-адреса, чтобы убедиться, что они содержат только ожидаемые символы и не содержат вредоносного кода. Это можно сделать с помощью таких методов, как регулярные выражения или библиотеки для проверки ввода.
• Кодируйте все данные перед записью в файл журнала. В зависимости от требований приложения можно использовать такие методы кодирования, как URL-кодирование, HTML-кодирование или Base64-кодирование.
• Избегайте конкатенации недоверенных данных с сообщениями журнала. Вместо этого используйте фреймворк протоколирования или шаблонизатор, который автоматически экранирует данные или предоставляет механизмы кодирования
• Используйте фреймворк протоколирования, который обеспечивает безопасное протоколирование и по умолчанию обрабатывает кодирование данных. Например, модуль протоколирования в Python обеспечивает автоматическое кодирование данных по умолчанию.
• Ограничьте количество конфиденциальных данных, которые записываются в файлы журнала. Избегайте записи в журнал таких конфиденциальных данных, как пароли, номера кредитных карт или другая персонально идентифицируемая информация.
• Убедитесь, что файлы журналов хранятся в безопасном месте и недоступны для неавторизованных пользователей. Рассмотрите возможность использования разрешений на файлы, контроля доступа и шифрования для защиты файлов журнала от несанкционированного доступа.

Additional:

https://owasp.org/www-project-proactive-controls/#div-numbering

CWE-117: Improper Output Neutralization for Logs

OWASP Logging

OWASP Log Injection