Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

Security: App keys and decrypted env vars written with world-readable permissions

Ouverte
  • Quelque chose ne va pas ?
#606 2 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
3/5
Temps estimé
1-2 jours
Accessibilité débutants
58/100
Type d'issue
Bug
Clarté
Plutôt claire
Activité
Calme
Stack technique
rust
Domaine
security

Piste de recherche

Commencez dans dstack-util/src/system_setup.rs, au niveau de l’écriture de AppKeys vers les lignes 1350-1351 et des écritures des variables d’environnement déchiffrées vers les lignes 1409-1419. Lisez comment ces fichiers sont ouverts et écrits, puis vérifiez que les nouveaux fichiers secrets écrits sont accessibles uniquement par leur propriétaire plutôt que lisibles par tout le monde. C’est terminé lorsque les deux chemins d’écriture utilisent des permissions restrictives et que les vérifications Rust existantes réussissent.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

security security: hardening security: report

Note: This issue documents a vulnerability that was originally reported privately as the repository security advisory GHSA-535m-2x67-prhm by @pbeza.

Root Cause

fs::write() is used with default permissions (0o644) to write AppKeys to the filesystem. The AppKeys structure contains disk_crypt_key, env_crypt_key, and k256_key — all highly sensitive cryptographic secrets. Similarly, decrypted environment variables are written to files with default world-readable permissions.

// Default fs::write() creates files with 0o644 permissions
fs::write(&app_keys_path, serde_json::to_string(&app_keys)?)?;

Attack Path

  1. Any process inside the CVM can read /path/to/app-keys.json
  2. Attacker compromises any container workload (web vulnerability, dependency exploit, etc.)
  3. Compromised process reads app-keys.json with disk_crypt_key, env_crypt_key, k256_key
  4. Attacker can decrypt the disk, decrypt environment variables, and use the k256 signing key

Impact

Any compromised process inside the CVM can read all application cryptographic keys and decrypted environment variables. This includes the disk encryption key (enables offline disk reading), the env encryption key (decrypts all environment secrets), and the k256 key (enables signing as the CVM).

Suggested Fix

Set restrictive permissions before writing:

use std::os::unix::fs::OpenOptionsExt;

let mut file = std::fs::OpenOptions::new()
    .write(true)
    .create(true)
    .truncate(true)
    .mode(0o600)
    .open(&app_keys_path)?;
file.write_all(serde_json::to_string(&app_keys)?.as_bytes())?;

Consider further restricting to 0o400 (read-only by owner) after the initial write.

Note: This finding was reported automatically as part of an AI/Claude-driven internal audit by the NEAR One MPC team. It has not been manually verified by a human to confirm whether it constitutes an actual security issue.

Langage dominant
Rust
Étoiles
555
Forks
99
Merge moyen
1 j 3 h
PR mergées (30 j)
195

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de Dstack-TEE/dstack

Toutes les issues de Dstack-TEE/dstack

Issues similaires

Plus d'issues Rust

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.