False positive: Env var is from config, not vault, and contains the name of another env var

Offen

#19,681 erstellt am 05.6.2025 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 35/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Veraltet
Tech-Stack: rust
Bereich: security

Rechercherichtung

Beginne mit dem verlinkten Code in crates/config/src/embeddings.rs in den Zeilen 76-79 und untersuche den Code-scanning-Alert 5068, um die CodeQL-Abfrage und den Datenfluss zu identifizieren, die den Fund erzeugen. Erledigt ist die Aufgabe, wenn dieser Konfigurationswert nicht mehr als geheime Ausgabe gemeldet wird, während die Offenlegung echter Geheimnisse aus Umgebungsvariablen weiterhin erkannt wird.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

false-positive

Description of the false positive

This flagged for outputting the value of an environment variable to logs. Generally, that could be a problem. In this case, the env var clearly contained the name of another env var to look in for the secret. Is there a way to not flag in this situation? For example, could we determine that this environment variable came from a k8s env var (where secrets are not allowed) as opposed to from vault?

Code samples or links to source code

https://github.com/github/blackbird/blob/d5fc30382331e6f5cd03c7f8695afadeeb631075/crates/config/src/embeddings.rs#L76-L79

URL to the alert on GitHub code scanning (optional)

https://github.com/github/blackbird/security/code-scanning/5068

Vorherrschende Sprache: CodeQL
Sterne: 10.1k
Forks: 2.1k
Ø Merge: 2 T. 16 Std.
Gemergte PRs (30 T.): 143

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql

[aw] Update rust-analyzer has stale lock file Offen

agentic-workflows

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#22656 · Erstellt am 23.9.2026
JavaScript externs model StorageEvent() with no type argument Offen

false-positive javascript

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

github/codeql#22632 · 1 Kommentar · Erstellt am 20.9.2026
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

github/codeql#22556 · Erstellt am 14.9.2026
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/codeql#21637 · 2 Kommentare · Erstellt am 02.4.2026
Organization owned immutable actions raise warning about unpinned 3rd party actions tag Offen

false-positive

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

github/codeql#21076 · 3 Kommentare · 3 Reaktionen · Erstellt am 21.12.2025

Alle Issues in github/codeql