Theo de Raadt har lagt till en ändring som förbjuder användningen av nolltecken i shell-skript som bearbetas av den standardanvända kommandotolken ksh. Närvaro av nolltecken i skripten kommer nu att leda till att körningen avslutas med ett felmeddelande, förutom när de placeras bland data i slutet av filen efter koden. Ändringen ingår i utvecklingsgrenen OpenBSD-Current, som kommer att ligga till grund för släppet av OpenBSD 7.6.
Det noteras att en sådan ändring kommer att utesluta osäkerhetsbeteenden relaterade till behandlingen av nolltecken i kod skriven i C där nollbyte används för att indikera slutet av strängen. Studier av hantering av nolltecken i olika skal visade att i var och en av dem identifierades ett eller flera fall där nollbyte i indatan eller innehållet i variablerna ledde till beteenden som skiljde sig från andra skal; vissa skal ignorerade det, andra ersatte det med mellanslag, och vissa avslutade ytterligare analys av skriptet eller stoppade dess körning.
Källa: opennet.ru
