Проверить транзитивные advisories по графу developer: NuGet и AmneziaWG Go

Abierto
  • ¿Algo no está bien?
#430 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
20/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
csharp, go
Área
backend, security

Línea de trabajo

Start from an isolated checkout of developer at the stated commit. Build the resolved NuGet graph, including Velopack, and compare advisory ranges with resolved versions; then inspect tools/amneziawg/go.mod, the selected modules for all five target platforms, and package and call reachability. Use OSV and the linked package changelogs to assess applicability and compatibility; done means documenting supported findings without calling unconfirmed CVEs BYDLO bugs. Keep checks static and isolated, without running the host, TUN, VPN, drivers, or network services.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

dependencies go P3

Задача

В аудите NuGet --vulnerable --include-transitive по уже восстановленному локальному графу не сообщил уязвимостей, но локальная ветка отличается от developer, где есть Velopack 1.2.161. Это не полная проверка resolved graph developer.

В tools/amneziawg/go.mod закреплены x/crypto 0.42.0 и x/net 0.44.0; текущие стабильные — 0.58.0 и 0.62.0. OSV даёт совпадения по версиям, однако проверенные импорты хоста используют blake2s/chacha20/poly1305/curve25519 и ipv4/ipv6, а большинство advisories относится к SSH/OpenPGP/HTML/HTTP2. Есть отдельный advisory dnsmessage; наличие пакета в netstack исходниках не доказывает достижимость из хоста. Подтверждённая runtime-уязвимость BYDLO не установлена.

Критерии приёмки

  • В изолированном checkout developer построен актуальный resolved graph NuGet, включая Velopack; advisory ranges сопоставлены с resolved versions.
  • Для всех пяти Go target platforms проверены selected modules и package/call reachability; package-level совпадения отделены от достижимых уязвимостей.
  • Решение по x/crypto/x/net и другим транзитивным пакетам основано на применимости, совместимости и changelog; неподтверждённые CVE не объявляются багами BYDLO.
  • При необходимости upgrades выделены в отдельную небольшую группу с go.mod/go.sum, build всех RID, notices и rollback; AmneziaWG protocol core не переписывается.
  • Проверки статические/изолированные: не запускать host main, TUN, VPN, drivers или сетевые службы.

Источники

База и проверка

По итогам аудита 2026-11-06, developer @ 3363f2131619149e6a25c31e08b6a42a5a4accda. Реализация — отдельная ветка от актуального developer; версии повторно сверить перед изменением.

Перед .NET/NuGet/Python загрузить scripts/env.ps1 или env.sh; сохранять BYDLO_SAFE_DEV=1. Только изолированные тесты/fake runner и fake network; UI — исключительно --mock. Реальные движки, туннели, драйверы и обход блокировок автоматически не проверять. Ручная проверка реального подключения остаётся за мейнтейнером.

Lenguaje dominante
C#
Estrellas
5
Forks
1
Merge medio
46 min
PR fusionados (30 d)
179

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de endercodezz/BYDLO

Todos los issues de endercodezz/BYDLO

Issues similares

Más issues de C#

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.