Saltos de línea en cabeceras y en registros

En el protocolo HTTP las cabeceras se separan unas de otras con un fin de línea, y una línea en blanco marca dónde empieza el cuerpo. En un registro de texto la convención es la misma: una línea, un evento. En los dos casos el separador es un carácter que puede aparecer dentro de un valor, y ahí está el problema: si el programa pega el valor sin normalizarlo, el formato no tiene forma de saber que esa línea nueva no es suya.

En las cabeceras, la situación mejoró sola: los servidores y las bibliotecas modernas rechazan o descartan los caracteres de control en el valor de una cabecera, así que la partición de respuestas —CWE-113 en el catálogo de MITRE, de nivel variante— ya no suele prosperar. Lo que queda vivo es el eco: una cabecera que devuelve un valor del cliente sigue siendo superficie, aunque no parta nada.

En los registros no hay red de seguridad equivalente, y el daño es más callado: quien revisa el registro ve eventos que nunca ocurrieron, con el nombre de quien le convenga al que los escribió, y la investigación posterior parte de una historia falsa. MITRE lo recoge como CWE-117, de nivel base, para la salida sin neutralizar que se escribe en un registro.

Abre el laboratorio y lee la carpeta tinajal-saltos. El controlador de solicitudes valida dos campos y escribe uno de ellos en el registro de texto «con sus palabras». Ese es el que viaja íntegro hasta la línea del registro.

El proyecto tiene dos registradores: uno arma una línea de texto pegando los valores con un separador, y otro codifica un evento por línea con cada valor en su propio campo. Identifica el primero.

El registro del 14 de octubre tiene líneas que empiezan directamente por el separador, sin fecha ni hora propias: son la continuación de la línea anterior, que se partió al escribirse. Cuéntalas; son la medida del hallazgo y el primer dato que pide la auditoría.

El arreglo del registro es de formato: un evento por línea codificado por una biblioteca, con cada valor en su campo, que es justo lo que ya hace el otro registrador del proyecto. En el servidor web el caso es distinto: las dos cabeceras que repiten un valor del cliente no parten nada porque el servidor descarta los caracteres de control, así que el hallazgo no es una partición de respuesta; es una superficie heredada que conviene retirar porque nadie la usa.