К обсуждениям

New API: лимит body и логов до проверки webhook

Редакция VOne Технологии

Защитная диагностика New API webhooks по GHSA-v828-m3pf-vq9q: version inventory, обратимый fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.

Короткий ответ: какая граница важна в New API webhooks

Проверять нужно не продукт целиком, а конкретный инвариант: жёсткий byte-limit должен применяться при streaming read, а логи хранить только размер, hash и outcome. Пользовательская боль здесь одна — неаутентифицированный callback может прочитать и записать в лог весь oversized body до signature verification. Запись GHSA-v828-m3pf-vq9q задаёт инвентарную отсечку «github.com/QuantumNous/new-api: < 1.0.0-rc.11; первая исправленная версия: 1.0.0-rc.11», но номер версии не является диагнозом. Наличие пакета означает только candidate: ещё нужно доказать runtime artifact, включённую функцию и достижимый путь. Отсутствие жалоб, зелёный health и название образа ничего не говорят об этой границе. Практический ответ строится вокруг отдельного наблюдения «declared bytes | read bytes | signature reached | logged bytes | response | verdict» и прекращается по условию «прочитан или залогирован весь oversized body, превышен memory budget либо endpoint открыт наружу». Это сохраняет тему узкой и не превращает её в повтор общего security-чеклиста.

Проверьте применимость до эксперимента

Найдите github.com/QuantumNous/new-api в resolved lock, SBOM или фактически загруженном binary и свяжите результат с digest либо revision. Сопоставьте его с «github.com/QuantumNous/new-api: < 1.0.0-rc.11; первая исправленная версия: 1.0.0-rc.11». Получаются четыре честных исхода: absent — компонента в runtime нет; out_of_range — доказанная версия не входит в указанную область; candidate — область совпала и функция доступна; unknown — provenance или reachability не подтверждены. Для backport отдельно приложите commit и regression test. Не повышайте unknown до pass по дате сборки, vendor banner или одному ответу HTTP.

Безопасное наблюдение для GHSA-v828-m3pf-vq9q

Используйте только обратимый сценарий: локальный handler получает малый signed-control и синтетический поток чуть выше малого test-limit; подпись mock, body состоит из повторяемого marker-byte. Сначала выполните штатный control, иначе отказ boundary-case может означать сломанный стенд. Работайте в disposable-процессе или namespace без production snapshot, учётных данных, персональных объектов и открытого egress. До старта зафиксируйте разрешённые файлы, network scope, timeout, CPU/RSS budget и способ cleanup. После шага прочитайте состояние обратно и сравните только синтетические маркеры. Не переносите из advisory exploit-код, реальные идентификаторы или опасную нагрузку.

Матрица результата и критерий остановки

Рабочая строка этой статьи: declared bytes | read bytes | signature reached | logged bytes | response | verdict. PASS допустим, когда control достигает целевой функции, boundary-case управляемо отклонён, а readback и side-effect diff чисты. FAIL фиксируется только при работающем control и прямом нарушении инварианта «жёсткий byte-limit должен применяться при streaming read, а логи хранить только размер, hash и outcome». UNKNOWN обязателен при неизвестной сборке, неполной телеметрии, раннем limiter, неоднозначном состоянии или невозможности безопасно воспроизвести ветку. Stop-condition задаётся заранее: прочитан или залогирован весь oversized body, превышен memory budget либо endpoint открыт наружу. После него тест не расширяют и не пытаются добиться результата большей нагрузкой.

Как доказать исправление без лишних изменений

Для candidate или FAIL сверьте remediation на upstream-странице GHSA-v828-m3pf-vq9q и используйте поддерживаемую версию либо документированный backport; inventory-ориентир остаётся «github.com/QuantumNous/new-api: < 1.0.0-rc.11; первая исправленная версия: 1.0.0-rc.11». Если patched release не названа, не выдумывайте её: временно изолируйте функцию и согласуйте отдельную миграцию. На том же fixture сохраните pre/post artifact digest, повторите control и boundary-case, затем сравните матрицу «declared bytes | read bytes | signature reached | logged bytes | response | verdict». Canary допустим только после чистого cleanup и отдельного rollback. Не меняйте одновременно proxy, права, storage или формат данных — иначе причина результата потеряется.

Минимальный handoff владельцу New API webhooks

Передайте GHSA-v828-m3pf-vq9q, resolved package, границу «github.com/QuantumNous/new-api: < 1.0.0-rc.11; первая исправленная версия: 1.0.0-rc.11», artifact digest, feature state, hash fixture, budgets, одну заполненную строку «declared bytes | read bytes | signature reached | logged bytes | response | verdict», verdict PASS/FAIL/UNKNOWN и причину unknown. Ссылки на GitHub Advisory Database и upstream источник нужны для повторной проверки, но длинные фрагменты не копируются. Укажите, что вывод относится только к боли «неаутентифицированный callback может прочитать и записать в лог весь oversized body до signature verification». Удалите hostnames, IP, usernames, cookies, tokens, конфиги и содержимое пользовательских объектов. Для независимого журнала достаточно полей `new-api-webhook-body-and-log-budget-check-artifact`, `new-api-webhook-body-and-log-budget-check-control`, `new-api-webhook-body-and-log-budget-check-boundary`, `new-api-webhook-body-and-log-budget-check-readback`, `new-api-webhook-body-and-log-budget-check-sideeffects`, `new-api-webhook-body-and-log-budget-check-stop`, `new-api-webhook-body-and-log-budget-check-verdict`, `new-api-webhook-body-and-log-budget-check-cleanup`; значения секретов в них запрещены.

Материал подготовлен редакцией VOne с помощью ИИ; даты, версии, первичные источники, обратимый fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.