Безопасная проверка Glances XML-RPC CORS по ghsa-87qc-fj39-wccr: применимость, обратимый опыт для границы «per-request exact origin membership for any allowlist length», матрица результата и stop-rule без production-данных.
Отделите advisory от установки Glances XML-RPC CORS
Сначала отделите факт advisory от гипотезы о своей установке Glances XML-RPC CORS. Зафиксируйте package source, исполняемая среда version, build digest, feature/config reachability и роль, которая достигает ветви. GitHub Reviewed Advisory сообщает «Glances: XML-RPC Multi-Origin CORS Configuration Silently Falls Back to Wildcard (Incomplete Fix for CVE-2026-33533)», даты 2026-06-22/2026-07-21 и границы «glances < 4.5.5; first patched 4.5.5». Это само по себе не устанавливает affected code в конкретной сборке: fork и vendor backport требуют commit provenance. Пока provenance или reachability неизвестны, статус только unknown, без вывода об эксплуатации, популярности или ущербе.
Назовите отдельный защитный invariant
Опишите один узкий invariant: per-request exact origin membership for any allowlist length. Отдельная боль пользователя: configuration with two origins silently emits Access-Control-Allow-Origin wildcard. Укажите субъект, объект, trust boundary, решение policy и самый ранний чувствительный side effect. Pass-критерий задайте заранее: configured multi-origin echoes only matching origin; untrusted gets no allow header; wildcard appears only if explicitly chosen. Он отличается от общего «ошибки нет»: защита обязана сработать до read, send, execute, write, cache commit, credential issue или process exit. Решающий артефакт — configured-count / request-origin / matched / allow-origin / credentials; в нём нет имён, IP, содержимого файлов и персональных данных.
Проведите дифференциальный обратимый опыт
Создайте обратимый контрольное окружение: CORS policy object with zero/one/two origins and request origins trusted/untrusted. Затем render response headers for matrix without exposing monitoring data. Все значения синтетические, сеть отключена либо loopback-only, filesystem ограничен mkdtemp, persistence — in-memory или rollback transaction. Добавьте positive control и boundary case, одинаковый timeout и deterministic ordering. До запуска внесите в карточку input digest и expected row; после — result class, counters, final-state digest и cleanup proof. Нагрузочный или эксплуатационный вариант не нужен и запрещён.
Прочитайте матрицу до side effect
Заполните матрицу «configured-count / request-origin / matched / allow-origin / credentials» строка за строкой. Сопоставьте observed с правилом «configured multi-origin echoes only matching origin; untrusted gets no allow header; wildcard appears only if explicitly chosen», отдельно отмечая stage решения и факт любого побочного эффекта. Positive control обязан пройти тот же код: иначе deny может означать сломанный контрольное окружение. Для гонки или cache/state темы изменяйте только детерминированный interleaving и повторяйте малое число раз. Green возможен, когда безопасный сценарий работает, пограничный отклонён раньше действия, а state digest соответствует ожидаемому.
Подтвердите механизм исправления
Проверьте patch provenance по смыслу: diff гарантированно должен реализовать «per-request exact origin membership for any allowlist length», а не просто изменить номер релиза. На одном fixture сравните текущую и candidate build и внесите в карточку «configured-count / request-origin / matched / allow-origin / credentials». Диапазон «glances < 4.5.5; first patched 4.5.5» используйте как фильтр, не как доказательство. Если update требует rollout, эта статья не разрешает production change: нужен отдельный контракт с backup, canary, readiness и rollback. Не обещайте, что один фикс закрывает весь класс риска или даёт поисковый наблюдение.
Примените stop-rule и privacy boundary
Stop-rule: остановить опыт до browser, external origin, session or actual monitoring payload. Также прекратите опыт при внешнем адресе, real credential, privilege prompt, данных вне fixture, необратимой записи, росте ресурсов, отсутствии normal control или cleanup. Статус будет blocked, а не «почти прошёл». Для сопровождения передайте ghsa-87qc-fj39-wccr, Glances XML-RPC CORS, version/build provenance, «glances < 4.5.5; first patched 4.5.5», sanitized «configured-count / request-origin / matched / allow-origin / credentials», expected/observed, stop reason и прямые source URLs. Не публикуйте payload, чужие логи, конфиги и приватные ссылки.
Завершите деревом решения
Дерево решения для Glances XML-RPC CORS: proven patched/non-affected build — not-applicable; недостижимая по документированной конфигурации ветвь — not-reachable; candidate build выполняет «configured multi-origin echoes only matching origin; untrusted gets no allow header; wildcard appears only if explicitly chosen» — ready-for-reviewed-update; наблюдается «configuration with two origins silently emits Access-Control-Allow-Origin wildcard» — fail и эскалация владельцу. Иначе unknown. К каждому листу приложите один факт из «configured-count / request-origin / matched / allow-origin / credentials» и criterion «остановить опыт до browser, external origin, session or actual monitoring payload». Такой ответ самостоятельный: он решает конкретный intent через reversible test, matrix, red flags и минимальный support packet, а не размножает страницу заменой бренда.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-87qc-fj39-wccr проверено 2026-08-31
- Upstream-репозиторий Glances XML-RPC CORS проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.