Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

audit_log_forwarding_enabled: potential false negative when audit inputRef is not on the first pipeline

Aperta
  • Qualcosa non va?
#14,910 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 2 giorni

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
65/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Ambito
security

Direzione di ricerca

Inizia in applications/openshift/api-server/audit_log_forwarding_enabled e verifica come la regola valuta ClusterLogForwarder spec.pipelines. Riproduci il manifest fornito con audit solo nella seconda pipeline, quindi verifica che la regola passi; aggiungi o aggiorna la coverage se sono presenti test per questa regola.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

OpenShift
Description

Rule: ocp4-audit-log-forwarding-enabled (applications/openshift/api-server/audit_log_forwarding_enabled)

it appears the check is expected to evaluate every pipeline in every
ClusterLogForwarder object and PASS if audit appears in the inputRefs
of any pipeline.

Suspected issue

In my test cluster, I have a single ClusterLogForwarder object with two
pipelines:

apiVersion: observability.openshift.io/v1
kind: ClusterLogForwarder
metadata:
  name: instance
  namespace: openshift-logging
spec:
  pipelines:
  - name: app-logs
    inputRefs:
    - application
    outputRefs:
    - app-sink
  - name: audit-logs
    inputRefs:
    - audit
    outputRefs:
    - siem-sink

Only the second pipeline (audit-logs) references audit in inputRefs.
The first pipeline does not.

Expected behavior

The rule should evaluate to PASS, since at least one pipeline
(audit-logs) forwards audit logs.

Actual behavior

If it evaluates as FAIL, this suggests the underlying OVAL/CEL check may only
be inspecting the first pipeline entry (e.g. .spec.pipelines[0].inputRefs)
rather than iterating over the full pipelines[] array, which would be a
false negative for any CLF object where the audit pipeline is not first in
the list.

After I removed my first pipleline entry, the check passed.

Lingua principale
Shell
Stelle
2.8k
Fork
842
Merge medio
4g 22h
PR unite (30g)
37

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di ComplianceAsCode/content

Tutte le issue di ComplianceAsCode/content

Issue simili

Altre issue su Shell/Bash

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.