[S-6] Dead WAN→2121 ACCEPT firewall rule contradicts nft drop (latent exposure)
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 55/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- shell
- Ambito
- infrastructure, security
Direzione di ricerca
Start by confirming the finding still exists upstream: read the ACCEPT rule in the 99-tollgate-setup uci-defaults script around lines 174-181, then check it against the nftables drop for port 2121 in 30-backend-firewall.nft. If the rule is still present and contradicts the drop, remove it from the uci-defaults script. Done means the WAN-to-2121 traffic remains blocked by the nft rules and no ACCEPT rule for that port is left in the uci config.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Migrated from Amperstrand/tollgate-module-basic-go#77 as part of the fork retirement — OpenTollGate/tollgate-module-basic-go is the single source of truth; the fork issue carries the original discussion and any lab evidence. Retirement plan: #758.]
MEDIUM: A stale ACCEPT rule in uci-defaults (99-tollgate-setup:174-181) allows WAN→:2121 traffic, contradicting the actual nftables drop in 30-backend-firewall.nft. This creates latent exposure if firewall rules are reloaded in a different order or if the nft drop is accidentally removed.
The dead rule serves no purpose and may create a false sense of security while actually creating an exposure vector.
Fix: Delete the dead rule from uci-defaults.
Evidence: /home/ubuntu/src/tollgate_audit_report_2026-08-26.md §7, line 149
File references: uci-defaults 99-tollgate-setup:174-181 vs 30-backend-firewall.nft
Migrated 2026-10-09. Applicability to current upstream main (4614ac2, post-rc1) was not re-verified during migration — confirming whether the finding still reproduces upstream is this issue's first task.
- Lingua principale
- Go
- Stelle
- 12
- Fork
- 14
- Merge medio
- 1g 5h
- PR unite (30g)
- 232
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di OpenTollGate/tollgate-module-basic-go
-
Session event emits the customer's MAC address in the p tag — spec-invalid value on every payment responseForse già presa @Amperstrand l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
OpenTollGate/tollgate-module-basic-go#949 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
OpenTollGate/tollgate-module-basic-go#833 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
OpenTollGate/tollgate-module-basic-go#813 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
OpenTollGate/tollgate-module-basic-go#804 ·
I maintainer di solito rispondono entro 1 giorno
-
go-battery needs an ndsctl on PATH: TestPurchaseSessionGuardHoldsThroughTheOutcomeUnknownWindow fails on bare hosts (passes with stub)Forse già presa @Amperstrand l’ha presa 5 giorni fa. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
OpenTollGate/tollgate-module-basic-go#726 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di OpenTollGate/tollgate-module-basic-go
Issue simili
-
bug
Difficoltà 2/5 Mezza giornata Idoneità per principianti 72/100
I maintainer di solito rispondono entro 1 giorno
-
kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
kubernetes-sigs/external-dns#6816 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 1 giorno
-
ANSI translator ignores SGR 22/24 (and other attribute-off codes): bold and underline never turn offAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
-
Named Tuple element with a space in its name fails to parseForse già presa @spicysharkco l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
ClickHouse/clickhouse-go#2073 ·
I maintainer di solito rispondono entro 1 giorno