Защитная диагностика MySQL2 compressed protocol по GHSA-rgwj-5xj2-c3m3: применимость, обратимый локальный control, измеримый verdict, критерий остановки и минимальный пакет данных для владельца системы.
Короткий ответ — MySQL2: лимит распаковки сжатых пакетов
Задача страницы — проверить верхнюю границу распакованного MySQL-пакета при включённом compress в mysql2. Сначала установите фактически загруженный MySQL2 compressed protocol, package lock или image digest и границу «mysql2: introduced 0, fixed 3.23.1». Advisory GHSA-rgwj-5xj2-c3m3 — сигнал для inventory, а не доказательство состояния вашей установки. Практический порядок: provenance, один benign control, один boundary-case, измеримый verdict и cleanup. Боль конкретна: малый сжатый ответ способен вызвать несоразмерное выделение памяти в клиентском процессе. Итогом должен стать матрица compressed bytes / declared bytes / output bytes / decision / queue counter, а не субъективное утверждение «вроде безопасно».
Граница решения в MySQL2 compressed protocol
Разделите путь данных на переходы: compressed frame → объявленная длина → inflate budget → parser queue. На каждом переходе запишите владельца значения, тип, допустимое состояние и запрещённый side effect. Проверяемая инварианта: выход больше настроенного лимита отклоняется до помещения в очередь парсера и без роста памяти сверх тестового бюджета. NOT_APPLICABLE допустим только если component/function доказанно отсутствует; неизвестные digest, версия или effective config дают UNKNOWN. Номер исправленного релиза без runtime readback не является PASS, а отсутствие инцидента не доказывает соблюдение границы.
Безопасный локальный стенд для MySQL2 compressed protocol
Control выполняется только в disposable state: передать локальному обработчику два небольших синтетических frame: один ниже бюджета и один с выходом чуть выше; измерять только счётчики и размер результата. Сеть, shell, production database, реальные bucket, broker, SMTP, файловые пути, токены и пользовательские данные замените spies, stubs или in-memory объектами. До запуска сохраните baseline hash, нулевые counters и лимит времени/памяти. Входы должны быть короткими синтетическими маркерами; цель — проверить ветвление и ownership, а не воспроизводить эксплуатацию или усиливать воздействие.
Control, boundary-case и наблюдения
Benign control подтверждает достижимость ожидаемой ветки. Boundary-case меняет ровно один признак, связанный с болью «малый сжатый ответ способен вызвать несоразмерное выделение памяти в клиентском процессе», и не выходит за минимальный тестовый масштаб. Сохраните матрица compressed bytes / declared bytes / output bytes / decision / queue counter, reason code, duration и counters до/после. Ключевое правило остаётся неизменным: выход больше настроенного лимита отклоняется до помещения в очередь парсера и без роста памяти сверх тестового бюджета. Если control не достигает целевой функции или точка наблюдения двусмысленна, verdict — UNKNOWN; добавлять более сильный вход ради красивого результата нельзя.
Как вынести PASS, FAIL и UNKNOWN
PASS требует подтверждённых provenance/version, успешного benign control, соблюдения инварианты «выход больше настроенного лимита отклоняется до помещения в очередь парсера и без роста памяти сверх тестового бюджета», нулевых запрещённых side effects и доказанного cleanup. FAIL — тот же provenance плюс наблюдаемое нарушение: выход выше лимита попал в parser queue либо память продолжила расти после verdict. UNKNOWN означает, что нет digest, effective config, control, recorder либо возможности восстановить fixture. Запишите решение в матрица compressed bytes / declared bytes / output bytes / decision / queue counter; один HTTP status, отсутствие exception или факт установки новой версии по отдельности недостаточны.
Красная линия и восстановление
Немедленно прекратите проверку, если выход выше лимита попал в parser queue либо память продолжила расти после verdict. Не увеличивайте объём, глубину, число повторов и не переносите эксперимент на чужую систему. Откатите fixture к baseline, убедитесь, что counters сети, файлов, процессов, очередей и persistent writes вернулись в ожидаемое состояние, затем один раз повторите benign control. Любой неожиданный side effect блокирует PASS даже тогда, когда основной parser или policy вернул правильный код.
Почему это отдельный поисковый intent
Проверяет именно ресурсный контракт zlib на границе протокола MySQL, а не общий HTTP upload limit. Поэтому статья отвечает на самостоятельный запрос «проверить верхнюю границу распакованного MySQL-пакета при включённом compress в mysql2» и не создаётся как замена бренда, ОС или устройства. Её deliverable — матрица compressed bytes / declared bytes / output bytes / decision / queue counter, а измеримый stop-rule — выход выше лимита попал в parser queue либо память продолжила расти после verdict. Если существующий URL уже покрывает ту же боль, ожидаемый ответ и дерево решения, нужен отдельный update/merge-контракт, а не новая соседняя страница.
Минимальный пакет для владельца системы
Передайте владельцу GHSA-rgwj-5xj2-c3m3, component digest, effective version/config, границу «mysql2: introduced 0, fixed 3.23.1», описание перехода «compressed frame → объявленная длина → inflate budget → parser queue», control/boundary rows, counters, verdict, stop reason и cleanup proof. Advisory опубликована 2026-08-31 и обновлена 2026-09-02; эти даты подтверждают свежесть источника, но не популярность запроса, не факт эксплуатации и не применимость к конкретному deployment. После обновления повторите тот же fixture без изменения масштаба и сравните матрица compressed bytes / declared bytes / output bytes / decision / queue counter.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — GHSA-rgwj-5xj2-c3m3 проверено 2026-09-02
- Первичный upstream-материал — MySQL2 compressed protocol проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.