修复CWE-113：HTTP标头中CRLF序列的不正确中和（“HTTP响应拆分”）

Question

运行veracode扫描后，我得到了CWE 113错误。我已经找到了替换cookie值的解决方案，但问题仍然没有解决。

修复CWE-113：HTTP标头中CRLF序列的不正确中和（“HTTP响应拆分”）

string ReplaceHTTPRequestValue(string Value)
{
    string replacedValue = string.Empty;
    if (!string.IsNullOrEmpty(Value))
    {
        replacedValue = Value.Replace("\r", string.Empty)
                                .Replace("%0d", string.Empty)
                                .Replace("%0D", string.Empty)
                                .Replace("\n", string.Empty)
                                .Replace("%0a", string.Empty)
                                .Replace("%0A", string.Empty);
    }
    return replacedValue;
}

void WebTrends_PreRender()
{
    HttpCookie cookie = Request.Cookies["WT_CID"];
    string campaignIdVal = string.Empty;
    if (cookie != null)
    {
        campaignIdVal = ReplaceHTTPRequestValue(Request.Cookies["WT_CID"].Value);
    }
    else
    {
        campaignIdVal = string.Empty;
    }
}

我该如何解决这个问题？

Answer 1

string ReplaceHTTPRequestValue（string Value）{
string NonCRLF=string.Empty；

        foreach (char item in Value)
        {

            NonCRLF += item.ToString().Replace("\n", "").Replace("\r","");
        }
        return NonCRLF;
    }

Answer 2

请查看此链接https://community.veracode.com/s/question/0D53n00007YVaMrCAL/how-to-fix-flaws-for-cwe-id-113-http-response-splitting

继续报告该漏洞的原因很可能是因为您正在使用的功能不在支持的清理功能列表中，您可以在这里的帮助中心找到该列表：https://help.veracode.com/go/review_cleansers.例如支持的功能组织。owasp。编码器。编码forJava（）将为CWE-113以及CWE-117、CWE-80和CWE-93进行清理。请注意，为上下文选择适当的清理功能很重要。