К обсуждениям

async-tar: PAX size относится к следующему file entry

Редакция VOne Технологии

Практическая защитная проверка async-tar по ghsa-35rm-7j9c-2f7m: применимость, обратимый тест границы «применение PAX size к следующей file entry, а не к промежуточной extension header», измеримый результат и stop-rule без production-данных.

Проверьте применимость к async-tar

Не начинайте с граничного input: сначала зафиксируйте provenance процесса, digest сборки и normal-control. Для границы «применение PAX size к следующей file entry, а не к промежуточной extension header» запишите runtime version, build digest, способ установки, активную конфигурацию и роль вызывающего субъекта. Reviewed Advisory указывает «async-tar < 0.6.1; first patched 0.6.1», но это не заменяет проверку живого процесса. Not-applicable допустим только при доказанной версии вне affected range или документированно выключенной функции. При неполном provenance оставьте статус unknown и не переносите оценку advisory на всё развёртывание.

Фактическая рамка GHSA-35rm-7j9c-2f7m

GitHub Reviewed Advisory опубликована 2026-07-08, обновлена 2026-07-08 и описывает механизм: async-tar PAX extension-header desync enables tar entry/content smuggling. Package boundaries: «async-tar < 0.6.1; first patched 0.6.1». Upstream https://github.com/dignifiedquire/async-tar подтверждает происхождение проекта, но не состояние вашей установки. Дата, summary и границы берутся с прямой страницы https://github.com/advisories/GHSA-35rm-7j9c-2f7m, а не из forum post или search snippet. Запись не доказывает эксплуатацию, ущерб, популярность темы, индексацию или позицию страницы; для таких выводов нужны отдельные данные.

Отдельная боль и измеримое доказательство

Материал отвечает на одну самостоятельную боль: parser может сместить stream cursor и по-разному интерпретировать имена и содержимое относительно POSIX reader. До запуска создайте артефакт «ledger raw-header-type / pax-size / body-bytes-consumed / next-block-offset / entry-digest» и назначьте допустимые значения каждой колонке. Normal-control проходит тем же кодовым путём, на той же версии и с теми же ресурсными пределами. Исключение, status code или отсутствие события без trace не считаются окончательным доказательством. Marker должен быть синтетическим: без credentials, IP, настоящих имён, файлов, документов, журналов и внутренних адресов.

Безопасный обратимый опыт

Подготовьте in-memory minimal tar с normal PAX-file pair и PAX-longname-file sequence без extraction. Затем нужно итерировать raw entries двумя parser modes и сравнить offsets, logical entry order и content digest. Ожидаемый защитный исход задаётся до выполнения: extension header сохраняет собственный размер, PAX metadata применяется к file entry, offsets остаются block-aligned. Работайте только локально или в одноразовой среде с лимитами wall-time, CPU, памяти, файлов, сокетов и запросов. Не используйте production secrets, персональные данные, удалённые цели или эксплуатационные payload. Этот контур отделяет механизм от случайного timeout и сохраняет обратимость. После опыта удалите fixtures, повторите normal-control и сравните digest состояния с baseline.

Решение без догадок

Passed возможен, когда одновременно наблюдается: extension header сохраняет собственный размер, PAX metadata применяется к file entry, offsets остаются block-aligned; normal-control успешен; cleanup возвращает baseline. Failed фиксируется лишь после повторения с тем же fixture, версией и лимитами. Unknown остаётся при неполном provenance, нестабильном trace или неоднозначной конфигурации. Храните результат как «ledger raw-header-type / pax-size / body-bytes-consumed / next-block-offset / entry-digest», чтобы другой инженер мог проверить вывод. Не расширяйте локальное наблюдение на всю систему и не обещайте абсолютную защищённость после одного теста.

Стоп-правило, обновление и поддержка

Stop-rule: остановиться до extraction при расхождении offset или entry digest. Если runtime входит в affected range, получите исправление только из доверенного upstream https://github.com/dignifiedquire/async-tar, зафиксируйте новый digest и повторите прежний fixture с неизменными лимитами. Новый сценарий не подтверждает исправление исходной границы. В обезличенный пакет поддержки включите runtime version, package boundary, config branch, expected/observed, timestamps, resource limits, error class и fixture hashes. Исключите tokens, cookies, абсолютные пути, внутренние hostname и содержимое данных.

Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.