Защитная инструкция по pymonocypher и ghsa-8f95-v3jq-cj86: применимость, обратимый тест границы «проверка размера output до вызова native argon2i_32», измеримый исход, stop-rule и обезличенный пакет поддержки.
Сначала определите применимость для pymonocypher
Проверяемая граница здесь — проверка размера output до вызова native argon2i_32. Зафиксируйте runtime version, digest сборки, способ поставки и включённость именно этого пути. Reviewed advisory перечисляет «pymonocypher < 4.0.2.8 → исправлено в 4.0.2.8», но одна запись в lockfile не доказывает версию загруженного процесса. Отдельно укажите, кто может достичь функции и какие защитные слои стоят перед ней. Если provenance, конфигурация или достижимость не подтверждены, итоговый статус должен быть unknown, а не vulnerable или safe. Оценка advisory не является доказательством эксплуатации, ущерба или применимости к конкретному серверу.
Что подтверждает GHSA-8f95-v3jq-cj86, а что остаётся неизвестным
GitHub Reviewed Advisory опубликована 2026-07-09, обновлена 2026-07-09 и описывает: pymonocypher: Potential heap buffer overflow on nb_blocks in argon2i_32 when provided buffer is too small. Для пакетов указана граница «pymonocypher < 4.0.2.8 → исправлено в 4.0.2.8». Upstream jetperch/pymonocypher подтверждает происхождение проекта; даты, механизм и версии берутся из advisory, а не выводятся по README или поисковому сниппету. Источники не сообщают состояние вашей установки, частоту проблемы, наличие атаки, популярность запроса, индексацию или позицию страницы. Любой community-пост можно использовать лишь как лид для перепроверки, но не как основание технического вывода.
Диагностическая модель: проверка размера output до вызова native argon2i_32
Пользовательская боль формулируется узко: слишком маленький выходной buffer может привести к записи за его пределами. Наблюдайте не общий признак «работает/не работает», а независимые контрольные точки из артефакта «протокол requested-bytes / allocated-bytes / return-state / sanitizer-events / canary-before-after». Положительная ветвь нужна для отличия защиты от сломанного стенда: документированный buffer дважды возвращает одинаковый digest для публичного fixture. Граничную ветвь запускают после baseline, один раз и с заранее записанными лимитами. Такой порядок отделяет сам механизм от сетевого сбоя, неверной роли, старого cache, несовпадения конфигурации или ошибки fixture. Все marker-значения должны быть бессмысленными и не пригодными как credential.
Один обратимый опыт с измеримым результатом
Подготовьте одноразовый process, короткий публичный input, undersized buffer и соседний guard-canary без секретов. После снимка baseline нужно сначала выполнить документированный размер, затем undersized case под memory sanitizer или guard-page и сравнить exception и canary. До запуска задайте пределы wall-time, CPU, памяти, файлов, сокетов и числа запросов, подходящие этому fixture. Ожидаемое наблюдение формулируется заранее: правильный размер даёт deterministic output, маленький buffer отклоняется до native write, canary остаётся неизменным. Не используйте production tokens, реальные документы, пользовательские журналы, публичные цели или чужие адреса. После первой граничной точки не увеличивайте нагрузку и не расширяйте вход: очистите только созданные ресурсы, повторите normal-control и сравните состояние с первоначальным digest.
Как вынести вердикт из контрольных точек
Основной результат — протокол requested-bytes / allocated-bytes / return-state / sanitizer-events / canary-before-after. Passed требует одновременно защитного исхода «правильный размер даёт deterministic output, маленький buffer отклоняется до native write, canary остаётся неизменным», успешного normal-control и возврата к baseline. Failed допустим только при воспроизводимом нарушении той же границы на том же fixture; один timeout или неожиданный status недостаточен. Not-applicable требует доказанной runtime-версии вне advisory range либо документированно недостижимого кода. Unknown сохраняют при неполном provenance, нестабильной среде, отсутствующем trace или несогласованных показаниях. Эти четыре исхода нельзя заменять одним severity score.
Stop-rule, обновление и обезличенный пакет поддержки
Жёсткий stop-rule: завершить процесс при первом sanitizer event или изменении canary. При попадании runtime в затронутый range обновление берут только из доверенного канала jetperch/pymonocypher, затем повторяют прежний fixture с теми же лимитами и normal-control. В поддержку передают версию процесса, build digest, ветвь конфигурации, expected/observed, класс исключения или status, лимиты, временную шкалу и хэши synthetic fixtures. Удалите cookies, ключи, IP, внутренние имена, абсолютные пути и содержимое файлов. Этот материал описывает безопасную проверку и не является инструкцией по эксплуатации, обещанием нулевого риска или универсальным доказательством защищённости.
Материал подготовлен редакцией VOne с помощью ИИ; ссылки, даты, диапазоны версий, безопасный опыт и отсутствие рекламных обещаний затем перепроверены по прямым источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-8f95-v3jq-cj86 проверено 2026-08-31
- Upstream-репозиторий jetperch/pymonocypher проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.