Security: raw config-to-env output (decrypted secrets) is echoed to pod logs on failure
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 77/100
Línea de trabajo
Abre scripts/docker-entrypoint.sh en la línea 187 e inspecciona cómo el mensaje de error usa $config_env_output y $config_err_output. Elimina stdout del mensaje registrado y conserva el motivo del error, el código de salida y stderr redactado. Confirma que el registro del error ya no incluye la salida de config-to-env.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Finding (medium): config-to-env output echoed to the log on failure
scripts/docker-entrypoint.sh:187 (commit fe16600): echo "[CONFIG] ERROR: Failed to load config from '$CONFIG_SVC' ($config_fail_reason, exit code $config_exit): $config_env_output $config_err_output" >&2.
$config_env_output is the stdout of npx @osaas/cli web config-to-env: export NAME=value lines that include secret parameters decrypted with CONFIG_API_KEY. When the load is marked failed (non-zero exit, timeout, or output with no valid export line) the stdout, which may hold partial exports, goes to stderr, the pod log, Loki and anyone with log access.
Suggested fix: print only $config_fail_reason, the exit code and a redacted $config_err_output; never print the stdout.
Siblings with the same line: Eyevinn/web-runner#75, Eyevinn/python-runner#38, wasm-runner (filed separately).
Lessons
Found by the #269 logger-call sweep (Eyevinn/osaas-maker-manager#275, ticket S4); static read of a tarball of the default branch, not reproduced live. Source: Eyevinn/osaas-maker-manager#269.
🤖 Generated with Claude Code
Co-Authored-By: Claude Sonnet 5.5 [email protected]
- Lenguaje dominante
- Shell
- Estrellas
- 0
- Forks
- 2
- Merge medio
- 45 min
- PR fusionados (30 d)
- 6
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Issues similares
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Frogging-Family/linux-tkg#1265 ·
-
False AMD GPU DetectionAbiertobug
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
community-scripts/core#217 ·
Los mantenedores suelen responder en 1 día
-
known-red S3: friction & debt
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
MedakaLang/medaka#4969 ·
Los mantenedores suelen responder en 1 día
-
enhancement needs:sonnet ready-for-agent
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
area/tooling contribfest No AI type/cleanup type/feature
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día