Защитная диагностика Vitess vttablet vrlog по GHSA-mhc4-g3wh-cw7m: применимость, обратимый локальный control, измеримый verdict, критерий остановки и минимальный пакет данных для владельца системы.
Короткий ответ — Vitess /debug/vrlog: ACL до потоковой выдачи
Задача страницы — проверить, что /debug/vrlog применяет debugging ACL до подписки на поток VReplication. Сначала установите фактически загруженный Vitess vttablet vrlog, package lock или image digest и границу «vitess.io/vitess: introduced 0.24.0-rc1, last affected 0.24.2; vitess.io/vitess: introduced 0, last affected 0.23.6». Advisory GHSA-mhc4-g3wh-cw7m — сигнал для inventory, а не доказательство состояния вашей установки. Практический порядок: provenance, один benign control, один boundary-case, измеримый verdict и cleanup. Боль конкретна: неавторизованный запрос может получить служебные события репликации раньше проверки доступа. Итогом должен стать таблица role / ACL result / subscribe counter / response status / body marker, а не субъективное утверждение «вроде безопасно».
Граница решения в Vitess vttablet vrlog
Разделите путь данных на переходы: HTTP principal → DEBUGGING ACL → stream subscription → redacted event output. На каждом переходе запишите владельца значения, тип, допустимое состояние и запрещённый side effect. Проверяемая инварианта: отказ в доступе происходит до subscribe, а разрешённый control получает только синтетическое событие. NOT_APPLICABLE допустим только если component/function доказанно отсутствует; неизвестные digest, версия или effective config дают UNKNOWN. Номер исправленного релиза без runtime readback не является PASS, а отсутствие инцидента не доказывает соблюдение границы.
Безопасный локальный стенд для Vitess vttablet vrlog
Control выполняется только в disposable state: запустить локальный handler с синтетическим событием и двумя ролями: без права debugging и с ним; SQL заменить коротким маркером. Сеть, shell, production database, реальные bucket, broker, SMTP, файловые пути, токены и пользовательские данные замените spies, stubs или in-memory объектами. До запуска сохраните baseline hash, нулевые counters и лимит времени/памяти. Входы должны быть короткими синтетическими маркерами; цель — проверить ветвление и ownership, а не воспроизводить эксплуатацию или усиливать воздействие.
Control, boundary-case и наблюдения
Benign control подтверждает достижимость ожидаемой ветки. Boundary-case меняет ровно один признак, связанный с болью «неавторизованный запрос может получить служебные события репликации раньше проверки доступа», и не выходит за минимальный тестовый масштаб. Сохраните таблица role / ACL result / subscribe counter / response status / body marker, reason code, duration и counters до/после. Ключевое правило остаётся неизменным: отказ в доступе происходит до subscribe, а разрешённый control получает только синтетическое событие. Если control не достигает целевой функции или точка наблюдения двусмысленна, verdict — UNKNOWN; добавлять более сильный вход ради красивого результата нельзя.
Как вынести PASS, FAIL и UNKNOWN
PASS требует подтверждённых provenance/version, успешного benign control, соблюдения инварианты «отказ в доступе происходит до subscribe, а разрешённый control получает только синтетическое событие», нулевых запрещённых side effects и доказанного cleanup. FAIL — тот же provenance плюс наблюдаемое нарушение: для роли без debugging вырос subscribe counter или в body появился маркер события. UNKNOWN означает, что нет digest, effective config, control, recorder либо возможности восстановить fixture. Запишите решение в таблица role / ACL result / subscribe counter / response status / body marker; один HTTP status, отсутствие exception или факт установки новой версии по отдельности недостаточны.
Красная линия и восстановление
Немедленно прекратите проверку, если для роли без debugging вырос subscribe counter или в body появился маркер события. Не увеличивайте объём, глубину, число повторов и не переносите эксперимент на чужую систему. Откатите fixture к baseline, убедитесь, что counters сети, файлов, процессов, очередей и persistent writes вернулись в ожидаемое состояние, затем один раз повторите benign control. Любой неожиданный side effect блокирует PASS даже тогда, когда основной parser или policy вернул правильный код.
Почему это отдельный поисковый intent
Проверяет порядок ACL и подписки конкретного потокового debug endpoint, а не общий список административных URL. Поэтому статья отвечает на самостоятельный запрос «проверить, что /debug/vrlog применяет debugging ACL до подписки на поток VReplication» и не создаётся как замена бренда, ОС или устройства. Её deliverable — таблица role / ACL result / subscribe counter / response status / body marker, а измеримый stop-rule — для роли без debugging вырос subscribe counter или в body появился маркер события. Если существующий URL уже покрывает ту же боль, ожидаемый ответ и дерево решения, нужен отдельный update/merge-контракт, а не новая соседняя страница.
Минимальный пакет для владельца системы
Передайте владельцу GHSA-mhc4-g3wh-cw7m, component digest, effective version/config, границу «vitess.io/vitess: introduced 0.24.0-rc1, last affected 0.24.2; vitess.io/vitess: introduced 0, last affected 0.23.6», описание перехода «HTTP principal → DEBUGGING ACL → stream subscription → redacted event output», control/boundary rows, counters, verdict, stop reason и cleanup proof. Advisory опубликована 2026-08-18 и обновлена 2026-09-02; эти даты подтверждают свежесть источника, но не популярность запроса, не факт эксплуатации и не применимость к конкретному deployment. После обновления повторите тот же fixture без изменения масштаба и сравните таблица role / ACL result / subscribe counter / response status / body marker.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — GHSA-mhc4-g3wh-cw7m проверено 2026-09-02
- Первичный upstream-материал — Vitess vttablet vrlog проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.