К обсуждениям

Go x/crypto SSH: как проверить отсутствие panic в callback

Редакция VOne Технологии

Защитная проверка golang.org/x/crypto по GHSA-78mq-xcr3-xm33: версия, изолированный fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств.

Короткий ответ для golang.org/x/crypto

Проблема этой карточки конкретна: необычная последовательность CheckHostKey/Authenticate может завершить весь серверный процесс. Рекомендуемый путь: Сначала докажите фактическую версию golang.org/x/crypto. Затем выполните только изолированную проверку: in-memory SSH harness вызывает только документированные callback с контролируемыми ошибками и затем выполняет второй чистый запрос. Итог фиксируйте как PASS, FAIL или Unknown; production и реальные данные не используйте. Advisory GHSA-78mq-xcr3-xm33 описывает механизм «golang.org/x/crypto is vulnerable to invoking server panic during CheckHostKey/Authenticate flow» и указывает границу «go/golang.org/x/crypto: < 0.52.0; первая исправленная версия: 0.52.0». Это не означает, что конкретная установка уязвима или что инцидент уже произошёл. Сначала подтвердите resolved dependency, digest артефакта, ветку и реально включённую функцию. Если компонент виден только в исходном manifest, но отсутствует в runtime/SBOM, пометьте состояние как not_present, а не как PASS.

Inventory и применимость: callback_panic

Для xcrypto-ssh-callback-panic-containment сохраните package manager, lock-файл, runtime-версию и способ доставки компонента. Отдельно запишите advisory boundary: go/golang.org/x/crypto: < 0.52.0; первая исправленная версия: 0.52.0. Возможные решения: not_present, outside_range, affected_candidate, patched_or_backported и Unknown. Backport считается доказанным только при ссылке на commit и повторяемом regression test. Название контейнера, один HTTP 200 и отсутствие жалоб не доказывают исправление. Если невозможно связать бинарник с source revision, остановитесь на Unknown и передайте вопрос владельцу сборки.

Безопасный стенд для проверки callback_panic

Проверка строится вокруг одного наблюдаемого действия: in-memory SSH harness вызывает только документированные callback с контролируемыми ошибками и затем выполняет второй чистый запрос. Используйте disposable окружение, синтетические данные, отключённую внешнюю сеть и заранее заданные CPU/RSS/time limits. Сначала выполните benign control, который подтверждает достижимость нужного пути. Затем один boundary-case без опубликованного exploit payload. Не копируйте production-конфигурацию, токены, имена пользователей, адреса узлов или реальные документы. После каждого случая прочитайте состояние обратно и удалите временные объекты.

Как читать результат: таблица callback–ошибка–panic–готовность следующего запроса

Главный артефакт этой статьи: таблица callback–ошибка–panic–готовность следующего запроса. PASS допустим, когда positive control сработал, boundary-case был безопасно отклонён и состояние осталось неизменным. FAIL требует одновременно работающего control и наблюдаемого нарушения заявленной границы. Unknown обязателен, если версия не доказана, harness не дошёл до нужной ветки, монитор не видел side effects либо ограничитель завершил тест раньше результата. Такой формат отделяет реальное наблюдение по callback_panic от предположения по названию CVE.

Обновление без потери причинности

Если найден affected_candidate, переходите на поддерживаемую исправленную ветку, указанную upstream: 0.52.0. Сохраните исходный fixture и повторите его до и после изменения. Не меняйте одновременно dependency, права, proxy, storage и формат данных: тогда нельзя понять, что исправило verdict. Stop-rule для этой карточки: процесс завершается, зависает или второй control не выполняется. Немедленно завершайте проверку также при появлении персональных данных, внешнего трафика, записи вне temp или реальных секретов. Защитный фильтр на периметре может снизить риск, но не заменяет исправление компонента.

Минимальный пакет доказательств по GHSA-78mq-xcr3-xm33

Передайте владельцу: GHSA-78mq-xcr3-xm33, go/golang.org/x/crypto: < 0.52.0; первая исправленная версия: 0.52.0, artifact digest, feature state, hash fixture, параметры лимитов, результат benign control, строку из «таблица callback–ошибка–panic–готовность следующего запроса», итог PASS/FAIL/Unknown и точную причину Unknown. Приложите GitHub Advisory Database и прямой upstream source, но не копируйте большие фрагменты чужого текста. Отдельно укажите, что проверялась боль «необычная последовательность CheckHostKey/Authenticate может завершить весь серверный процесс», а не весь продукт. Для повторяемости используйте ключи `xcrypto-ssh-callback-panic-containment-inventory`, `xcrypto-ssh-callback-panic-containment-control`, `xcrypto-ssh-callback-panic-containment-boundary`, `xcrypto-ssh-callback-panic-containment-readback`, `xcrypto-ssh-callback-panic-containment-sideeffects`, `xcrypto-ssh-callback-panic-containment-verdict`, `xcrypto-ssh-callback-panic-containment-rollback` и `xcrypto-ssh-callback-panic-containment-timestamp`. Тогда следующий специалист проверит тот же механизм без доступа к production.

Материал подготовлен редакцией VOne с помощью ИИ; версии, источники, безопасный fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.