GHSA-8h8h-x3pq-56lq: @logtape/syslog Log Injection (CVE-3026-54511) Analysis & Fix

漏洞总结 漏洞概述 漏洞编号：GHSA-8h8h-x3pq-56lq 漏洞名称：@logtape/syslog 结构化数据中的日志注入漏洞 严重程度：High（CVSS 9.6/10） 漏洞类型：通过未转义的控制字符和未校验的 SD-NAME 键实现 syslog 日志注入 CVE：CVE-3026-54511 发布方：dahlia，发布于 6 月 16 日 影响范围 受影响包： （npm）和 （JSR） 受影响版本：<= 2.1.4 已修复版本：1.3.11, 2.1.4, 2.1.5 影响条件：仅影响启用了 的部署（非默认配置） 攻击向量：网络；攻击复杂度：低；所需权限：无 受影响下游收集器：rsyslog、syslog-ng、Splunk、Elastic Stack 等使用 RFC 6587 非透明帧格式的收集器 漏洞细节 1. 未转义的 C0 控制字符： 函数仅转义 、 、 ，未转义换行符（ 、 ）及其他 C0 控制字符（U+0000–U+001F）。攻击者可通过在属性值中嵌入换行符，使下游收集器将其解析为独立的、看似合法的 syslog 记录。 2. 未校验的 SD-NAME 键：结构化数据参数键直接插入消息，未做校验或转义。RFC 5424 规定 SD-NAME 为可打印 US-ASCII 字符（排除 、 、 和空格），最大长度 32。若键包含 、 或超长，会产生格式错误的结构化数据元素。 POC 代码 （使用 Node.js 22.17.1 测试） 修复方案 1. 结构化数据值：转义所有 C0 控制字符（U+0000–U+001F）。RFC 5424 未定义控制字符的转义序列，最稳妥的方式是替换或剥离这些字符。 或彻底剥离： 。 2. SD-NAME 键：在包含前对每个键进行 RFC 5424 SD-NAME 语法校验，校验失败则跳过或清理。

目標達成すべての支援者に感謝 — 100%達成しました！

GHSA-8h8h-x3pq-56lq: @logtape/syslog Log Injection (CVE-3026-54511) Analysis & Fix

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

GHSA-8h8h-x3pq-56lq: @logtape/syslog Log Injection (CVE-3026-54511) Analysis & Fix

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！