Защитная инструкция по Spring Cloud Sleuth и ghsa-26m2-9g2q-v45q: проверить применимость, выполнить обратимый стендовый сценарий, распознать безопасный исход и остановиться без опасного payload.
Паспорт применимости: Spring Cloud Sleuth
До изменения сформулируйте защитное ожидание одним предложением. Для Spring Cloud Sleuth Reviewed advisory ghsa-26m2-9g2q-v45q подтверждает отдельную проблему: активная instrumentation Spring TX в затронутой ветке может превратить особый вызов в отказ обслуживания. Пакетная граница записи: maven:org.springframework.cloud:spring-cloud-sleuth-instrumentation >= 3.1.0, <= 3.1.11; исправленная версия в Reviewed record не указана. Declared package сопоставляют с runtime version, digest, команде запуска и build provenance. Когда package отсутствует или path выключен, фиксируют not-applicable с доказательством; при неизвестном происхождении — unknown. Severity high задаёт приоритет разбора, но не доказывает эксплуатацию, ущерб или состояние конкретной установки. GitHub фиксирует публикацию 2026-06-15 и обновление 2026-08-26; эти даты не заменяют локальный inventory.
Наблюдения до изменения Spring Cloud Sleuth
До update или containment сохраните набор наблюдений, специфичный для этой карточки: artifact org.springframework.cloud:spring-cloud-sleuth-instrumentation, effective TX flag, trace count, latency budget и worker health. Рядом с каждым наблюдением сохраняют происхождение, время и ответственного. Разведите ожидаемое, увиденное, неизвестное и неприменимое; пустое поле не зелёное. Отдельно укажите входной субъект, policy/parser, защищаемый объект и вид контролируемого отказа. Это отделяет «активная instrumentation Spring TX в затронутой ветке может превратить особый вызов в отказ обслуживания» от обычной ошибки конфигурации, stale process, proxy/cache или прежнего инцидента. До и после изменения baseline получают одним методом. Редактируйте tokens, cookies, реальные адреса, персональные данные и закрытые пути; полные дампы в редакционный пакет не входят. Если health был красным заранее, сначала закройте этот инцидент.
Стендовый сценарий без опасного входа
Допустим один bounded experiment: в isolated application выполнить одну обычную transaction и короткую ограниченную серию synthetic transactions без пользовательских данных. Порядок фиксирован: обычный A, безопасная граница B, контрольный A2. До запуска задают synthetic input, disposable scope, time и resource budget. Ожидаемый исход записывают до запуска: оба шага завершаются в budget, spans ограничены, pool не исчерпан и обычная transaction после серии проходит. Между A, B и A2 не меняйте одновременно dependency, роли, network и storage. Любая потеря health, timeout, пустой ответ или ручное изменение отменяют успех. Не копируйте рабочий exploit из источника, не направляйте запрос к чужой системе и не используйте production данные. Если A2 отличается от A, вернитесь к baseline.
Как классифицировать результат
Таблица решения для Spring Cloud Sleuth содержит version boundary, runtime digest, active-path evidence, исходы A/B/A2, health и cleanup. Статус passed-bounded-check допустим только когда оба шага завершаются в budget, spans ограничены, pool не исчерпан и обычная transaction после серии проходит. Классификация не свободная: affected даёт update-required, untested patch — patched-unverified, no proof — unknown, failed criterion — failed-safe-check. Если Reviewed record не называет first patched version, не придумывайте её: используйте vendor release или containment и оставляйте patch boundary unknown. Один успешный прогон не переносится на другие узлы и версии. Он не является общей гарантией безопасности Spring Cloud Sleuth, не исключает соседние дефекты и не доказывает качество всей установки.
Остановка, возврат и передача владельцу
Дальнейшие действия запрещены, если нужен длительный load test, production database, снятие timeout или неизвестный crafted call. При stop criterion эксперимент не масштабируют ни по правам, ни по ресурсам. Заранее подготовленный возврат: остановить application, удалить test schema, вернуть tracing config и сверить pool baseline. Возврат принимают после контрольного A, чистого diff и закрытия files/processes/sessions. Для передачи достаточно следующего: JAR digest, TX flag, latency/trace counts, pool health и cleanup. Добавьте время, expected/actual, две прямые ссылки и ответственного за очистку. Не включайте секреты, активный payload, личные обстоятельства и инфраструктуру третьих лиц. Эти данные воспроизводимы для владельца, однако не являются обещанием индексации, позиций, спроса или фактом проверки у читателя.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным, первичным и исследовательским источникам; факты, даты, версии и ссылки перепроверены. Реальные пользовательские данные, активные опасные payload и вымышленные результаты тестов не использовались.
Источники и проверка
- GitHub Advisory Database ghsa-26m2-9g2q-v45q по Spring Cloud Sleuth проверено 2026-08-30
- Прямая upstream или research-страница Spring Cloud Sleuth проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.