prometheus/prometheus

Makefile vulnerability

Aperta

#10.660 aperta il 2 mag 2022

Vedi su GitHubGuida contributor
 (11 commenti) (0 reazioni) (0 assegnatari)Go (10.408 fork)batch import
help wantedkind/enhancement

Metriche repository

Star
 (64.042 stelle)
Metriche merge PR
 (Merge medio 11g 5h) (118 PR mergiate in 30 g)

Descrizione

Proposal

Use case. Why is this important? Currently the Makefile pipes a download from curl directly to tar without verifying checksums.

This makes the build vulnerable to man in the middle attacks, and prevents the build from being reproducible.

Verifying checksums will fix the security vulnerability. Additionally verifying checksums makes builds reproducible and cachable.

Guida contributor

Direzione di ricerca
Esamina il Makefile nel repository prometheus/prometheus per identificare i comandi curl to tar (probabilmente per scaricare le dipendenze). Aggiungi la verifica del checksum dopo ogni download utilizzando sha256sum o simili. Verifica i checksum attesi dalla fonte e implementa un meccanismo per far fallire la build se non corrispondono. Controlla i commenti esistenti per soluzioni proposte o discussioni sull'approccio.
Tech stack
go
Dominio
backendbuild systemsecurity
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
MakeBash
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
70