Защитная диагностика fast-uri IDN normalization по GHSA-4c8g-83qw-93j6: применимость, обратимый локальный control, измеримый verdict, критерий остановки и минимальный пакет данных для владельца системы.
Короткий ответ — fast-uri: единая канонизация IDN перед политикой хоста
Задача страницы — сверить канонический hostname fast-uri с фактическим WHATWG URL consumer до решения allow или deny. Сначала установите фактически загруженный fast-uri IDN normalization, package lock или image digest и границу «fast-uri: introduced 4.0.0, fixed 4.0.1; fast-uri: introduced 3.0.0, fixed 3.1.3; fast-uri: introduced 2.3.1, fixed 2.4.2». Advisory GHSA-4c8g-83qw-93j6 — сигнал для inventory, а не доказательство состояния вашей установки. Практический порядок: provenance, один benign control, один boundary-case, измеримый verdict и cleanup. Боль конкретна: политика и сетевой consumer могут по-разному понять Unicode-имя хоста. Итогом должен стать таблица raw host / parser result / normalized host / consumer host / policy verdict, а не субъективное утверждение «вроде безопасно».
Граница решения в fast-uri IDN normalization
Разделите путь данных на переходы: raw URL → IDN normalization → policy hostname → consumer hostname. На каждом переходе запишите владельца значения, тип, допустимое состояние и запрещённый side effect. Проверяемая инварианта: policy и consumer получают один ASCII hostname либо вход отклоняется до любого сетевого вызова. NOT_APPLICABLE допустим только если component/function доказанно отсутствует; неизвестные digest, версия или effective config дают UNKNOWN. Номер исправленного релиза без runtime readback не является PASS, а отсутствие инцидента не доказывает соблюдение границы.
Безопасный локальный стенд для fast-uri IDN normalization
Control выполняется только в disposable state: сравнить в памяти обычный домен .invalid и его вариант с Unicode-разделителем; сетевые запросы запретить счётчиком. Сеть, shell, production database, реальные bucket, broker, SMTP, файловые пути, токены и пользовательские данные замените spies, stubs или in-memory объектами. До запуска сохраните baseline hash, нулевые counters и лимит времени/памяти. Входы должны быть короткими синтетическими маркерами; цель — проверить ветвление и ownership, а не воспроизводить эксплуатацию или усиливать воздействие.
Control, boundary-case и наблюдения
Benign control подтверждает достижимость ожидаемой ветки. Boundary-case меняет ровно один признак, связанный с болью «политика и сетевой consumer могут по-разному понять Unicode-имя хоста», и не выходит за минимальный тестовый масштаб. Сохраните таблица raw host / parser result / normalized host / consumer host / policy verdict, reason code, duration и counters до/после. Ключевое правило остаётся неизменным: policy и consumer получают один ASCII hostname либо вход отклоняется до любого сетевого вызова. Если control не достигает целевой функции или точка наблюдения двусмысленна, verdict — UNKNOWN; добавлять более сильный вход ради красивого результата нельзя.
Как вынести PASS, FAIL и UNKNOWN
PASS требует подтверждённых provenance/version, успешного benign control, соблюдения инварианты «policy и consumer получают один ASCII hostname либо вход отклоняется до любого сетевого вызова», нулевых запрещённых side effects и доказанного cleanup. FAIL — тот же provenance плюс наблюдаемое нарушение: два парсера дали разные хосты, а policy всё равно разрешила переход к сети. UNKNOWN означает, что нет digest, effective config, control, recorder либо возможности восстановить fixture. Запишите решение в таблица raw host / parser result / normalized host / consumer host / policy verdict; один HTTP status, отсутствие exception или факт установки новой версии по отдельности недостаточны.
Красная линия и восстановление
Немедленно прекратите проверку, если два парсера дали разные хосты, а policy всё равно разрешила переход к сети. Не увеличивайте объём, глубину, число повторов и не переносите эксперимент на чужую систему. Откатите fixture к baseline, убедитесь, что counters сети, файлов, процессов, очередей и persistent writes вернулись в ожидаемое состояние, затем один раз повторите benign control. Любой неожиданный side effect блокирует PASS даже тогда, когда основной parser или policy вернул правильный код.
Почему это отдельный поисковый intent
Даёт parity-тест двух конкретных канонизаторов, а не ещё один общий материал про SSRF или DNS. Поэтому статья отвечает на самостоятельный запрос «сверить канонический hostname fast-uri с фактическим WHATWG URL consumer до решения allow или deny» и не создаётся как замена бренда, ОС или устройства. Её deliverable — таблица raw host / parser result / normalized host / consumer host / policy verdict, а измеримый stop-rule — два парсера дали разные хосты, а policy всё равно разрешила переход к сети. Если существующий URL уже покрывает ту же боль, ожидаемый ответ и дерево решения, нужен отдельный update/merge-контракт, а не новая соседняя страница.
Минимальный пакет для владельца системы
Передайте владельцу GHSA-4c8g-83qw-93j6, component digest, effective version/config, границу «fast-uri: introduced 4.0.0, fixed 4.0.1; fast-uri: introduced 3.0.0, fixed 3.1.3; fast-uri: introduced 2.3.1, fixed 2.4.2», описание перехода «raw URL → IDN normalization → policy hostname → consumer hostname», control/boundary rows, counters, verdict, stop reason и cleanup proof. Advisory опубликована 2026-07-21 и обновлена 2026-08-31; эти даты подтверждают свежесть источника, но не популярность запроса, не факт эксплуатации и не применимость к конкретному deployment. После обновления повторите тот же fixture без изменения масштаба и сравните таблица raw host / parser result / normalized host / consumer host / policy verdict.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — GHSA-4c8g-83qw-93j6 проверено 2026-09-02
- Первичный upstream-материал — fast-uri IDN normalization проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.