Windows sandbox hardening: LPAC, a separate desktop, safe DLL search and narrower grants
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 25/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- typescript
- Área
- security
Línea de trabajo
Start by reading sandbox_windows.ts:157-183 for the PATH grants, then trace the Windows AppContainer sandbox setup and helper startup for the other audit items. The issue lists several independent hardening changes, including LPAC, desktop isolation, DLL search, environment-variable filtering, and grant revocation; determine scope and tests for each before taking one on. Done means implementing and validating the selected security change without widening sandbox access.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Hardening items for the Windows AppContainer sandbox from the 2026-10-07 security audit. None is an escape on its own.
- LPAC. Set
PROC_THREAD_ATTRIBUTE_ALL_APPLICATION_PACKAGES_POLICY = PROCESS_CREATION_ALL_APPLICATION_PACKAGES_OPT_OUT. Today the sandbox inherits everything ALL APPLICATION PACKAGES can reach: system folders, HKLM read access, and in-box COM/ALPC/named-pipe endpoints. LPAC needs explicit grants but greatly reduces what the sandbox can talk to. - Separate desktop. Use a separate window station and desktop (
CreateDesktopWpluslpDesktop). Commands shareWinSta0\Defaulttoday, so screen capture and keyboard-state polling may be possible (not tested). - DLL search order. Call
SetDefaultDllDirectories(LOAD_LIBRARY_SEARCH_SYSTEM32)at helper startup, or link with/DEPENDENTLOADFLAG:0x800. The per-user install folder is writable. - PATH grants.
windowsPolicy.addgrants recursive read access to PATH entries inside the home folder (sandbox_windows.ts:157-183). Limit this to folders that hold executables. - Env allow-list.
sandboxEnvAllowListaccepts names thatisSecretEnvNamematches. Refuse them or ask a second time. - Stale grants. Revoke project grants when the app starts for projects no longer in the recent list, and on uninstall.
- Lenguaje dominante
- TypeScript
- Estrellas
- 2
- Forks
- 2
- Merge medio
- 5 h 28 min
- PR fusionados (30 d)
- 24
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de PierrunoYT/patch
-
enhancement platform: windows priority: low severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
PierrunoYT/patch#198 ·
Los mantenedores suelen responder en 1 día
-
priority: medium security severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
PierrunoYT/patch#66 ·
Los mantenedores suelen responder en 1 día
-
bug platform: macos priority: low severity: low tests
Dificultad 3/5 1-2 días Aptitud para principiantes 56/100
PierrunoYT/patch#218 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
enhancement priority: low security severity: low
Dificultad 4/5 3-5 días Aptitud para principiantes 55/100
PierrunoYT/patch#211 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
enhancement platform: windows priority: low security severity: low
Dificultad 4/5 3-5 días Aptitud para principiantes 55/100
PierrunoYT/patch#207 ·
Los mantenedores suelen responder en 1 día
Todos los issues de PierrunoYT/patch
Issues similares
-
bug priority:low ready-for-dev
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
Automattic/data-liberation-agent#685 ·
Los mantenedores suelen responder en 1 día
-
Business
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
txn2/mcp-data-platform#2063 ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 1/5 Menos de una hora Aptitud para principiantes 77/100
Crosstalk-Solutions/project-nomad#1427 ·
Los mantenedores suelen responder en 2 días