shoucheng3/owasp__json-sanitizer_cve-2020-13973_1-2-0
Bei JSON-ähnlichem Inhalt konvertiert der JSON Sanitizer diesen in gültiges JSON.
Dies kann an beiden Enden einer Datenpipeline angebracht werden, um Postels Prinzip zu genügen:
Seien Sie konservativ bei dem, was Sie tun, und liberal bei dem, was Sie von anderen akzeptieren.
Auf JSON-ähnlichen Inhalt von anderen angewandt, erzeugt es wohlgeformtes JSON, das jeden von Ihnen verwendeten Parser zufriedenstellen sollte.
Auf Ihre Ausgabe vor dem Senden angewandt, gleicht es kleinere Kodierungsfehler aus und erleichtert die Einbettung Ihres JSON in HTML und XML.
Viele Anwendungen enthalten große Mengen an Code, der mit Ad-hoc-Methoden JSON-Ausgaben erzeugt.
Häufig durchlaufen diese Ausgaben eine kleine Menge Framework-Code, bevor sie über das Netzwerk gesendet werden. Diese kleine Menge Framework-Code kann diese Bibliothek nutzen, um sicherzustellen, dass die Ad-hoc-Ausgaben standardkonform sind und sicher an (übermäßig) mächtige Deserialisierer wie den eval-Operator von Javascript übergeben werden können.
Anwendungen haben außerdem häufig Webservice-APIs, die JSON aus verschiedenen Quellen empfangen. Wenn dieses JSON mit Ad-hoc-Methoden erstellt wird, kann diese Bibliothek es in eine Form bringen, die leicht zu parsen ist.
Indem diese Bibliothek in den Code eingebunden wird, der Anfragen und Antworten sendet und empfängt, kann sie Softwarearchitekten dabei helfen, systemweite Sicherheits- und Wohlgeformtheitsgarantien sicherzustellen.
Der Sanitizer nimmt JSON-ähnlichen Inhalt entgegen und interpretiert ihn so, wie es JS eval tun würde. Insbesondere behandelt er diese nicht standardkonformen Konstrukte.
Der Sanitizer korrigiert fehlende Satzzeichen, fehlende End-Anführungszeichen sowie nicht passende oder fehlende schließende Klammern. Wenn eine Eingabe nur Leerzeichen enthält, wird die gültige JSON-Zeichenfolge null eingesetzt.
Die Ausgabe ist wohlgeformtes JSON gemäß RFC 4627. Die Ausgabe erfüllt diese zusätzlichen Eigenschaften:
"</script", sodass sie ohne weitere Kodierung in ein HTML-Script-Element eingebettet werden kann."]]>", sodass sie ohne weitere Kodierung in einen XML-CDATA-Abschnitt eingebettet werden kann.eval-Funktion von Javascript (nach dem Einhüllen in Klammern) oder von JSON.parse geparst werden. Insbesondere enthält die Ausgabe keine Zeichenfolgenliterale mit eingebetteten JS-Zeilenumbrüchen (U+2028 Absatztrenner oder U+2029 Zeilentrenner).Da die Ausgabe wohlgeformtes JSON ist, hat die Übergabe an eval keine Nebenwirkungen und keine freien Variablen; sie ist also weder ein Vektor für Code-Injection noch ein Vektor für die Exfiltration von Geheimnissen.
Diese Bibliothek stellt lediglich sicher, dass die Phase von der JSON-Zeichenfolge zum Javascript-Objekt keine Nebenwirkungen hat und keine freien Variablen auflöst; sie kann nicht steuern, wie anderer clientseitiger Code das resultierende Javascript-Objekt später interpretiert. Wenn clientseitiger Code also einen Teil der geparsten Daten, der von einem Angreifer kontrolliert wird, an einen mächtigen Interpreter wie eval oder innerHTML zurückgibt, kann dieser clientseitige Code unbeabsichtigte Nebenwirkungen erleiden.
var myValue = eval(sanitizedJsonString); // safe
var myEmbeddedValue = eval(myValue.foo); // possibly unsafe
Darüber hinaus kann das Bereinigen von JSON eine Anwendung nicht vor Confused-Deputy-Angriffen
var myValue = JSON.parse(sanitizedJsonString);
addToAdminstratorsGroup(myValue.propertyFromUntrustedSource);
Die sanitize-Methode gibt die Eingabezeichenfolge zurück, ohne einen neuen Puffer zu allozieren, wenn die Eingabe bereits gültiges JSON ist, das die obigen Eigenschaften erfüllt. Wenn sie also für Eingaben verwendet wird, die normalerweise wohlgeformt sind, hat sie einen minimalen Speicher-Overhead.
Die sanitize-Methode benötigt O(n) Zeit, wobei n die Länge der Eingabe in UTF-16-Codeeinheiten ist.
| Konstrukt | Vorgehen |
|---|
'...' | Strings in einfachen Anführungszeichen werden in JSON-Zeichenfolgen umgewandelt. |
\xAB | Hexadezimale Escapesequenzen werden in JSON-Unicode-Escapes umgewandelt. |
\012 | Oktale Escapesequenzen werden in JSON-Unicode-Escapes umgewandelt. |
0xAB | Hexadezimale Integer-Literale werden in JSON-Dezimalzahlen umgewandelt. |
012 | Oktale Integer-Literale werden in JSON-Dezimalzahlen umgewandelt. |
+.5 | Dezimalzahlen werden in das strengere JSON-Format überführt. |
[0,,2] | Auslassungen in Arrays werden mit null aufgefüllt. |
[1,2,3,] | Nachgestellte Kommas werden entfernt. |
{foo:"bar"} | Nicht in Anführungszeichen gesetzte Eigenschaftsnamen werden in Anführungszeichen gesetzt. |
//comments | Zeilen- und Blockkommentare im JS-Stil werden entfernt. |
(...) | Gruppierungsklammern werden entfernt. |