echo is broken by design

DeaD_EyE · Jan 15th 2023

tl;dr

Probleme mit dem Befehl echo.

Strings, die mit einem Bindestrich anfangen, können Optionsschalter sein. Um das zu umgehen, sollte man die Variable immer in Anführungszeichen setzen:

Code

echo -e # Leere Zeile
echo "-e" # -e wird ausgeben

Das funktioniert nicht mit Variablen. Wenn man aber ein Leerzeichen mit anhängt, wird der Optionsschalter nicht interpretiert.

Code

my_var="-e"
echo "$my_var" # Leere Zeile
echo "$my_var " # -e wird ausgegeben

External Content www.youtube.com

Content embedded from external sources will not be displayed without your consent.

Through the activation of external content, you agree that personal data may be transferred to third party platforms. We have provided more information on this in our privacy policy.

hyle · Jan 15th 2023

Not a bug, just a feature! Damit verhinder Bash, dass *ungewollt* Optionen injiziert werden. Das wäre z.B. bei einem rm und der Variable -r fatal.

Wann hat ein String schon ein - am Anfang, ohne, dass darauf ein Leerzeichen Folgt?

Zentris · Jan 15th 2023

Die bash (Ist ja nur eine von mehreren Shells, die es unter linux gibt) ist ja nun alt, sehr alt...
Als die Leute noch wussten, wie man damit umgeht, war das alles kein Problem, die "Probleme" kannte man und hat sie umschifft.

Zur Not eine andere Shell (csh z.B.) verwendet.

Offensichtliche Fehler oder solche, die man dafür hält, können gar nicht so simpel korrigiert werden: Vermutlich hunderttausende Scripte funktionieren genau so, wie sie sollen. Würde jetzt die bash korrigiert, wäre das verheerend ...

Außerdem:

die 3. Zeile

Code

my_var="-e"
echo "$my_var" # Leere Zeile
echo "$my_var " # -e wird ausgegeben

ist korrekt:
Durch die Anführungszeichen wird das endende Leerzeichen mit in den Option-Parser gegeben und der findet somit keine "-e". Wenn das ohne LZ direkt in der Commandozeile passiert, werden endende Leerzeichen abgeschnitten, bevor die Option(en) zum Parser gehen.

Lernst du schon gleich, wenn du mit der bash anfängst...

DeaD_EyE · Jan 15th 2023

Quote from hyle

Damit verhinder Bash, dass *ungewollt* Optionen injiziert werden.

Umgekehrt. Es werden Optionsschalter bei echo injiziert.

Quote from hyle

Das wäre z.B. bei einem rm und der Variable -r fatal.

Also halten wir fest: Alle Befehle sind betroffen.

D.h. alles, was vom User vorgegeben wird, könnte potenziell gefährlich sein.

__blackjack__ · Jan 16th 2023

Wobei zumindest die GNU-Varianten von den meisten Programmen -- kennen, um anzuzeigen, dass keine Optionen mehr folgen. Also beispielsweise rm -- -r um eine Datei mit dem Namen -r zu löschen oder rm -- "$filename" um sich davor zu schützen, dass ein Benutzer etwas gefährliches in $filename schmuggeln kann.

det_lev_da · Jan 16th 2023

Und grep was ist mit grep.

grep meint es ist eine Option von sich selbr haahahahahahah.

framp · Jan 16th 2023

Das ist fuer mich ein nettes Feature von echo aber kein Security issue. Es geht doch nur darum dass echo seine eigenen Argumente -e, -n und -E unterdrueckt. Das ist nicht ganz OK - aber wo ist das Securityproblem

Bash

#!/bin/bash

for s in {a..z}; do
        v="-$s"
        t="$(eval echo "$v")"
        if [[ $t != "-$s" ]]; then
                printf "Expected %s - got %s\n" $v $t
        fi
done

for s in {A..Z}; do
        v="-$s"
        t="$(eval echo "$v")"
        if [[ $t != "-$s" ]]; then
                printf "Expected %s - got %s\n" $v $t
        fi
done

Display More

zeigt

Code

Expected -e - got 
Expected -n - got 
Expected -E - got

Ausserdem wird in dem Video erklaert dass jede echo Implementierung einer shell sich unterschiedlich verhaelt. Ist auch nicht OK und ein Problem fuer denjenigen der ueber verschiedene Platformen/shells identisches Verhalten braucht. Allerdings ist das fuer mich eher ein akademisches Problem ... it's a Bug - it's a Feature - und kaum jemand bemerkt es.

DistroEx · Jan 18th 2023

Quote from __blackjack__

Wobei zumindest die GNU-Varianten von den meisten Programmen -- kennen, um anzuzeigen, dass keine Optionen mehr folgen.

In Einzelfällen führt das dann wieder zu anderen Problemen. Ganz frisch:

Code: Changelog

sudo (1.9.5p2-3+deb11u1) bullseye-security; urgency=high

  * Non-maintainer upload by the Security Team.
  * sudoedit: do not permit editor arguments to include "--" (CVE-2023-22809)

 -- Salvatore Bonaccorso <carnil@debian.org>  Sat, 14 Jan 2023 14:29:53 +0100

CVE dazu

Tags