envoyproxy/envoy

Audit YAML parsing code path

Open

#9039 aperta il 15 nov 2019

Vedi su GitHub
 (1 commento) (0 reazioni) (0 assegnatari)C++ (5373 fork)batch import
area/securityhelp wantedtech debt

Metriche repository

Star
 (27.997 star)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

The YAML parser we're using are not robust to untrust input, it should only be used to parse local file. We should add some basic limitation in the code base to prevent it happening.

Guida contributor

Direzione di ricerca
Trova tutti i percorsi di codice che analizzano YAML da fonti esterne e aggiungi la validazione dell'input o limita ai soli file locali attendibili.
Tech stack
cpp
Dominio
securitybackend
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Nuova
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
C++
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
65