К обсуждениям

Sparkle: безопасный контроль — отказ на intermediate symlink в delta apply

Редакция VOne Технологии

Защитная инструкция по Sparkle и ghsa-hg88-v3cw-3qrh: применимость, обратимый стендовый опыт, stop-rule и минимальный пакет для поддержки.

Граница применимости Sparkle

Эта карточка отвечает только за «отказ на intermediate symlink в delta apply». Боль, которую она отделяет от соседних тем: intermediate symlink при применении binary delta может направить запись за update root. Reviewed record ghsa-hg88-v3cw-3qrh опубликован 2026-05-29 и обновлён 2026-07-21. Пакетная граница: swift:github.com/sparkle-project/Sparkle <= 2.9.1 → fixed 2.9.2. Снимите версию реально запущенного artifact, digest, provenance сборки и достижимость этой функции. Lockfile без runtime digest оставляет статус unknown; severity не доказывает атаку или ущерб.

Что подтверждено для ghsa-hg88-v3cw-3qrh

Прямая Advisory Database связывает ghsa-hg88-v3cw-3qrh, CVE-2026-47121, Sparkle, механизм «intermediate symlink при применении binary delta может направить запись за update root» и диапазон «swift:github.com/sparkle-project/Sparkle <= 2.9.1 → fixed 2.9.2». Upstream-страница подтверждает происхождение проекта, но не состояние вашей установки. Локально запишите source URL, checked_at, version, enabled path, trust boundary, expected, observed и decision. Новость, forum thread и search snippet остаются лидами: ими нельзя подменять факт, причину или популярность.

Обратимый опыт: отказ на intermediate symlink в delta apply

Безопасный стендовый сценарий: в temp volume создать synthetic delta и symlink к sentinel за target root, запустить apply в sandbox и ожидать abort с неизменным hash. До запуска зафиксируйте baseline обычного входа, лимит времени/памяти/объектов и команду cleanup. После первого граничного исхода остановитесь, повторите normal control и удалите fixture. Запрещены production-документы, credentials, внешние адреса, активный HTML, команды и аварийная нагрузка. Если без них ответ не получен, карточка остаётся blocked, а не «успешной».

Матрица исходов для Sparkle

Полезный артефакт этой, а не соседней карточки: дерево path components/lstat result/write targets/sentinel hash до и после cleanup. Ветвь not-applicable требует доказанной версии вне «swift:github.com/sparkle-project/Sparkle <= 2.9.1 → fixed 2.9.2» или недостижимой функции. Ветвь update требует артефакта из primary source и повтора того же опыта. Ветвь contain допускает лишь узкое обратимое ограничение. При unknown provenance нужна escalation. Не меняйте одновременно runtime, proxy, OS и policy: иначе причинность не доказывается.

Stop-rule и пакет поддержки ghsa-hg88-v3cw-3qrh

Немедленно остановите опыт при выходе за заданный budget, crash вне дочернего процесса, записи за temp root, неожиданном сетевом запросе или невозможности cleanup. Минимальный пакет для support: Sparkle, ghsa-hg88-v3cw-3qrh, version/digest, абстрактная topology, hash fixture, дерево path components/lstat result/write targets/sentinel hash до и после cleanup, normal-control outcome, rollback status и decision code. Исключите IP, tokens, cookies, private keys, полный config, реальные имена и пользовательские данные. Отдельно отметьте, что advisory не доказывает эксплуатацию, ущерб или затронутость конкретной системы.

Паспорт evidence CVE-2026-47121

Идентификаторы: ghsa-hg88-v3cw-3qrh и CVE-2026-47121; severity Reviewed record — medium; классификация — CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal'), CWE-59: Improper Link Resolution Before File Access ('Link Following'). Пакеты: swift:github.com/sparkle-project/Sparkle <= 2.9.1 → fixed 2.9.2. Primary provenance: https://github.com/sparkle-project/Sparkle; глобальная карточка: https://github.com/advisories/GHSA-hg88-v3cw-3qrh. Эти поля копируются в тикет без расширительного толкования. CVE и CWE помогают маршрутизации, но не заменяют runtime inventory и локальную проверку «отказ на intermediate symlink в delta apply». Несовпадение product, package, function или digest запрещает автоматически переносить вывод этой страницы.

Материал подготовлен редакцией VOne с помощью ИИ, затем вручную проверен по двум прямым HTTPS-источникам; факты, диапазоны версий, безопасный опыт и отсутствие рекламных обещаний сверены человеком.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.