Защитная проверка vm2 по GHSA-cfcw-xp6x-25gj: версия, обратимый fixture, PASS/FAIL/Unknown, stop-rule и обезличенный пакет доказательств.
Что проверить для vm2
Без resolved-сборки и positive control любой вывод останется предположением. Команда не знает, закрывает ли фактическая ветка vm2 границу опасных host prototype mutators. Короткий ответ: подтвердите фактический досье и границу «npm/vm2 <= 3.11.5 → 3.11.6», затем проведите только обратимую проверку: исследовать версию и запустить только upstream regression test в одноразовом процессе без сети, файлов и секретов. Не используйте production, чужие данные или вредоносные payload. GitHub Advisory Database указывает severity critical и обновление 2026-08-30; это приоритет для инвентаризации, а не доказательство атаки или массового спроса. Запишите digest сборки, resolved dependency и state затронутой функции. Если досье транзитивный, имя образа или процесса не заменяет lock-файл, SBOM либо provenance артефакта.
Как определить применимость версии
Зафиксированная advisory-контур: npm/vm2 <= 3.11.5 → 3.11.6. Сопоставляйте её с реально загруженной библиотекой, а не только с manifest исходников. Разделите исход на `not_present`, `outside_range`, `affected_candidate`, `patched_or_backported` и `unknown`. Для fork архивируйте upstream commit и описание backport. Для категории `sandbox` отдельно отметьте, достигается ли соответствующий путь из доверенной зоны. Если branch или package не удаётся однозначно сопоставить, остановитесь на Unknown и не подменяйте факт общим советом «обновить всё».
Обратимый тест без опасного воспроизведения
Рекомендуемый fixture: исследовать версию и запустить только upstream regression test в одноразовом процессе без сети, файлов и секретов. До запуска подготовьте пустой временный контекст, ограничьте время и ресурсы, отключите внешнюю сеть и внесите expected result. Сначала проведите benign positive control, который доказывает работоспособность функции. Затем один отрицательный случай, проверяющий только заявленную границу. Не переносите в fixture токены, персональные данные, реальные пути, production-конфигурацию или опубликованные proof-of-concept. После теста удалите временные сущности и подтвердите отсутствие изменения исходного состояния.
Критерии PASS, FAIL и Unknown
Практический артефакт: лист ветка–настройки sandbox–positive control–negative control–exit code. PASS означает, что разрешённый control работает, а пограничный случай отклонён до нежелательного состояния. FAIL фиксируется только при работающем control и наблюдаемом нарушении заявленной границы. Unknown обязателен, если ветка не доказана, test harness не достиг нужного пути, verdict нельзя прочитать обратно или ограничитель сам оборвал проверку. Для `sandbox` дополнительно внесите время, память, нормализованный путь, субъект доступа либо контекст вывода — только те колонки, которые относятся к механизму.
План обновления и stop-rule
Если сборка попадает в затронутый диапазон, используйте поддерживаемую исправленную ветку из primary source и повторите тот же fixture до и после изменения. Не меняйте одновременно dependency, proxy, права и формат данных: иначе verdict потеряет причинность. Stop-rule: немедленно завершите тест при росте ресурсов вне лимита, неожиданном сетевом обращении, записи за пределами временного каталога, попытке затронуть чужой объект или появлении реальных секретов. WAF, отсутствие жалоб и статус active не равны исправлению GHSA-cfcw-xp6x-25gj.
Что приложить к запросу поддержки
Сохраните GHSA-cfcw-xp6x-25gj, package name, resolved version, artifact digest, ветку и commit, feature state, hash синтетического fixture, результаты control и negative case, а также итог PASS/FAIL/Unknown. Приложите ссылки на GitHub Advisory Database и primary upstream source, но не вставляйте большие фрагменты чужого текста. Отдельная боль: команда не знает, закрывает ли фактическая ветка vm2 границу опасных host prototype mutators. Результат — лист ветка–настройки sandbox–positive control–negative control–exit code. Механизм GHSA-cfcw-xp6x-25gj (vm2: Sandbox Breakout Using Dangerous Host Proto Mutators) не совпадает с соседними intent и требует собственного набора наблюдений. Такой досье позволяет maintainer повторить решение без доступа к production. Если advisory, локальная сборка и regression test расходятся, перечислите расхождение как Unknown вместо предположения о безопасности.
Контрольная карточка GHSA-cfcw-xp6x-25gj для sandbox
Карточка именно этого решения связывает вопрос «команда не знает, закрывает ли фактическая ветка vm2 границу опасных host prototype mutators» с проверкой «исследовать версию и запустить только upstream regression test в одноразовом процессе без сети, файлов и секретов». В первой строке укажите vm2, затем границу npm/vm2 <= 3.11.5 → 3.11.6. Во второй строке архивируйте исходный сигнал: vm2: Sandbox Breakout Using Dangerous Host Proto Mutators. Третья строка — ожидаемый практический verdict «лист ветка–настройки sandbox–positive control–negative control–exit code». Для этого механизма не подходят доказательства соседних страниц: название продукта, общий статус службы, один HTTP 200, отсутствие жалоб или скриншот интерфейса не отвечают на заявленный вопрос. Отдельно внесите, какой benign control подтверждает достижимость пути, какое наблюдение считается отказом до побочного эффекта и при каком условии решение становится Unknown. Пакет не должен содержать токены, реальные имена, адреса узлов, содержимое документов, дампы памяти или полный production-log. Финальная подпись включает дату 2026-08-31, GHSA-cfcw-xp6x-25gj, digest сборки и ссылку на upstream. Так другой специалист проверит категорию sandbox по тем же полям, не повторяя опасный сценарий и не получая доступ к данным пользователя.
Минимальный record для повторной проверки vm2-host-proto-mutator-upgrade-check
Команда не знает, закрывает ли фактическая версия vm2 границу опасных host prototype mutators. Рабочее действие для этой карточки: проверить версию и запустить только upstream regression test в одноразовом процессе без сети, файлов и секретов. Ожидаемый артефакт: лист версия–настройки sandbox–positive control–negative control–exit code. Upstream формулировка механизма: vm2: Sandbox Breakout Using Dangerous Host Proto Mutators. Компонентная граница: npm/vm2 <= 3.11.5 → 3.11.6. Для sandbox boundary процесс запускают с пустой файловой системой, без сокетов и переменных окружения. Проверяется upstream regression, а не публичный exploit. Дополнительными полями служат версия runtime, ограничения процесса, список доступных host objects и код завершения. Любой выход за одноразовый процесс немедленно делает тест неприемлемым. Цепочка наблюдения «vm2 → host → proto → mutator → upgrade → check» задаёт названия колонок и порядок read-back. Машиночитаемые ключи record: vm2-host-proto-mutator-upgrade-check-baseline, vm2-host-proto-mutator-upgrade-check-inventory, vm2-host-proto-mutator-upgrade-check-control, vm2-host-proto-mutator-upgrade-check-boundary, vm2-host-proto-mutator-upgrade-check-fixture, vm2-host-proto-mutator-upgrade-check-deadline, vm2-host-proto-mutator-upgrade-check-readback, vm2-host-proto-mutator-upgrade-check-sideeffects, vm2-host-proto-mutator-upgrade-check-verdict, vm2-host-proto-mutator-upgrade-check-provenance, vm2-host-proto-mutator-upgrade-check-rollback, vm2-host-proto-mutator-upgrade-check-timestamp, vm2-host-proto-mutator-upgrade-check-owner, vm2-host-proto-mutator-upgrade-check-digest, vm2-host-proto-mutator-upgrade-check-unknownreason. После обновления повторяется тот же fixture, поэтому изменение vm2 можно отделить от изменения окружения. Для GHSA-cfcw-xp6x-25gj verdict остаётся Unknown при пропущенном control, несовпадающей ветке либо недоступном read-back.
Материал подготовлен редакцией VOne с помощью ИИ; версии, источники, безопасный fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-cfcw-xp6x-25gj проверено 2026-08-31
- Primary upstream source for vm2 проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.