在Veracode（CWE 117）中使用slf4j记录器时的CRLF注入漏洞

Question

这是一个slf4j记录器，我一直在尝试使用2个消息参数记录错误。

catch(ExecutionException executionException) {

LOGGER.error("TimeoutException caught , Error: " + SSG_TIMEOUT.getErrorText() 
       + ". Message: " +executionException.getMessage());    
}  

SSG_超时。getErrorText（）结果为字符串“遇到超时错误”

我用过的东西

>

return entry.replace("\t", "\\t").replace("\b", "\\b").replace("\n", 
    "\\n").replace("\r", "\\r").replace("\f", "\\f").replace("\u0000", 
    "\\0").replace("\\a", "\\a").replace("\\v", "\\v").replace("\\e", 
    "\\e").replaceAll("\\p{Cntrl}", "").replace("'", "\\'").replace("\"", 
    "\\\"").replace("\\", "\\\\");

StringEscapeUtils。escapeJson（字符串错误消息）

字符串生成器附加StringescapeJson（StringBuilder.toString（））

不过，我在veracode报告中看到了这个问题。

有什么建议吗？

Answer 1

首先，前两种消毒方法是正确的，只是Veracode不支持。

在使用方法之前，您应该访问https://help.veracode.com/r/review_cleansers

对于上述问题，StringUtils。normalizeSpace（）工作正常。也可以使用“StringUtils.escapeJava”，但它似乎已被弃用

解决方案：

    catch(ExecutionException executionException) {

    LOGGER.error("TimeoutException caught , Error: " + 
    StringUtils.normalizeSpace(SSG_TIMEOUT.getErrorText() 
    }