Проверить транзитивные advisories по графу developer: NuGet и AmneziaWG Go

Aperta
  • Qualcosa non va?
#430 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
20/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
csharp, go
Ambito
backend, security

Direzione di ricerca

Start from an isolated checkout of developer at the stated commit. Build the resolved NuGet graph, including Velopack, and compare advisory ranges with resolved versions; then inspect tools/amneziawg/go.mod, the selected modules for all five target platforms, and package and call reachability. Use OSV and the linked package changelogs to assess applicability and compatibility; done means documenting supported findings without calling unconfirmed CVEs BYDLO bugs. Keep checks static and isolated, without running the host, TUN, VPN, drivers, or network services.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

dependencies go P3

Задача

В аудите NuGet --vulnerable --include-transitive по уже восстановленному локальному графу не сообщил уязвимостей, но локальная ветка отличается от developer, где есть Velopack 1.2.161. Это не полная проверка resolved graph developer.

В tools/amneziawg/go.mod закреплены x/crypto 0.42.0 и x/net 0.44.0; текущие стабильные — 0.58.0 и 0.62.0. OSV даёт совпадения по версиям, однако проверенные импорты хоста используют blake2s/chacha20/poly1305/curve25519 и ipv4/ipv6, а большинство advisories относится к SSH/OpenPGP/HTML/HTTP2. Есть отдельный advisory dnsmessage; наличие пакета в netstack исходниках не доказывает достижимость из хоста. Подтверждённая runtime-уязвимость BYDLO не установлена.

Критерии приёмки

  • В изолированном checkout developer построен актуальный resolved graph NuGet, включая Velopack; advisory ranges сопоставлены с resolved versions.
  • Для всех пяти Go target platforms проверены selected modules и package/call reachability; package-level совпадения отделены от достижимых уязвимостей.
  • Решение по x/crypto/x/net и другим транзитивным пакетам основано на применимости, совместимости и changelog; неподтверждённые CVE не объявляются багами BYDLO.
  • При необходимости upgrades выделены в отдельную небольшую группу с go.mod/go.sum, build всех RID, notices и rollback; AmneziaWG protocol core не переписывается.
  • Проверки статические/изолированные: не запускать host main, TUN, VPN, drivers или сетевые службы.

Источники

База и проверка

По итогам аудита 2026-11-06, developer @ 3363f2131619149e6a25c31e08b6a42a5a4accda. Реализация — отдельная ветка от актуального developer; версии повторно сверить перед изменением.

Перед .NET/NuGet/Python загрузить scripts/env.ps1 или env.sh; сохранять BYDLO_SAFE_DEV=1. Только изолированные тесты/fake runner и fake network; UI — исключительно --mock. Реальные движки, туннели, драйверы и обход блокировок автоматически не проверять. Ручная проверка реального подключения остаётся за мейнтейнером.

Lingua principale
C#
Stelle
5
Fork
1
Merge medio
46m
PR unite (30g)
179

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di endercodezz/BYDLO

Tutte le issue di endercodezz/BYDLO

Issue simili

Altre issue su C#

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.