Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Windows sandbox hardening: LPAC, a separate desktop, safe DLL search and narrower grants

Aperta
  • Qualcosa non va?
#158 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
25/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
typescript
Ambito
security

Direzione di ricerca

Start by reading sandbox_windows.ts:157-183 for the PATH grants, then trace the Windows AppContainer sandbox setup and helper startup for the other audit items. The issue lists several independent hardening changes, including LPAC, desktop isolation, DLL search, environment-variable filtering, and grant revocation; determine scope and tests for each before taking one on. Done means implementing and validating the selected security change without widening sandbox access.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

enhancement platform: windows priority: low security severity: low

Hardening items for the Windows AppContainer sandbox from the 2026-10-07 security audit. None is an escape on its own.

  • LPAC. Set PROC_THREAD_ATTRIBUTE_ALL_APPLICATION_PACKAGES_POLICY = PROCESS_CREATION_ALL_APPLICATION_PACKAGES_OPT_OUT. Today the sandbox inherits everything ALL APPLICATION PACKAGES can reach: system folders, HKLM read access, and in-box COM/ALPC/named-pipe endpoints. LPAC needs explicit grants but greatly reduces what the sandbox can talk to.
  • Separate desktop. Use a separate window station and desktop (CreateDesktopW plus lpDesktop). Commands share WinSta0\Default today, so screen capture and keyboard-state polling may be possible (not tested).
  • DLL search order. Call SetDefaultDllDirectories(LOAD_LIBRARY_SEARCH_SYSTEM32) at helper startup, or link with /DEPENDENTLOADFLAG:0x800. The per-user install folder is writable.
  • PATH grants. windowsPolicy.add grants recursive read access to PATH entries inside the home folder (sandbox_windows.ts:157-183). Limit this to folders that hold executables.
  • Env allow-list. sandboxEnvAllowList accepts names that isSecretEnvName matches. Refuse them or ask a second time.
  • Stale grants. Revoke project grants when the app starts for projects no longer in the recent list, and on uninstall.
Lingua principale
TypeScript
Stelle
2
Fork
2
Merge medio
6h 27m
PR unite (30g)
37

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di PierrunoYT/patch

Tutte le issue di PierrunoYT/patch

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.