Bootstrap: prevent rollback to older allowlisted releases
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 45/100
Direzione di ricerca
Read scripts/bootstrap.sh, especially trusted_release_digest() and the v0.6.3 legacy requirements block. Trace how the latest release version and digest are checked, then decide how the allowlist should prevent older approved archives from being installed. Done means a rollback to an older allowlisted release is refused while the current reviewed release remains installable.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Summary
scripts/bootstrap.sh trusted_release_digest() keeps digests for older releases (currently v0.6.3 and v0.6.4). Anyone able to control the GitHub "latest release" API response could serve an older but still-allowlisted archive (rollback/downgrade), reintroducing issues fixed in later releases.
Proposal
- Once a newer release digest is reviewed and pinned, remove superseded digests from the allowlist (and the v0.6.3 legacy requirements block, as already noted in the code).
- Alternatively, keep a minimum-allowed version and refuse anything older.
Notes
Low severity: exploiting this requires a compromised GitHub API response, and only previously reviewed archives can be served.
- Lingua principale
- Shell
- Stelle
- 0
- Fork
- 0
- Merge medio
- 16m
- PR unite (30g)
- 40
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di graygarbage/HermesKey
-
future consideration packaging
Difficoltà 1/5 1-3 ore Idoneità per principianti 83/100
graygarbage/HermesKey#94 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement future consideration privacy
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
graygarbage/HermesKey#92 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement future consideration
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
graygarbage/HermesKey#89 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement experimental privacy
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
graygarbage/HermesKey#96 ·
I maintainer di solito rispondono entro 1 giorno
-
documentation enhancement future consideration
Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100
graygarbage/HermesKey#95 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di graygarbage/HermesKey
Issue simili
-
area:docs phase:release priority:p0 type:test
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
-
Non-root first start logs "Base venv updated (stamp mismatch)" instead of the first-run messageApertaarea: infrastructure bug priority: low
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
snapotter-hq/SnapOtter#4573 ·
I maintainer di solito rispondono entro 1 giorno
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
community-scripts/ProxmoxVE#18463 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
infamousjoeg/conceal#60 ·
-
area/ci area/security microtask size/S status/ready
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
HarnageaGabriel/disdetta#76 ·
I maintainer di solito rispondono entro 1 giorno