only allow certain file types to be written to Level 4

オープン
  • 何か問題がありますか？
#13 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
5/5
見積もり時間
1週間以上
初心者へのやさしさ
25/100
issue の種類
機能追加
明瞭さ
説明が足りない
活発さ
停滞
技術スタック
python
領域
infrastructure, security

調査の方向性

このIssueではファイル、テスト、エントリーポイントが指定されていません。まずLevel 4の書き込みパスを特定してください。完了するには、合意されたファイルタイプのホワイトリストと、追加のタイプを要求するための定義済みの方法が必要です。

索引モデルが issue の本文から書いたものです。

説明

As a minimum: txt csv tsv log json svg png jpeg ipynb md html pdf.

My main thinking for this is that R objects often contain the the arguments that were passed to them, such as data frames (and sometimes entire environments). This is Bad because a user might be tempted to release that object out of L4 for local processing, without realising the security implications. For example a ggplot object contains the data used to plot the object, even if the plot is for lower dimension derivations of the data like a density plot or a chart showing pairwise correlations. There are lots of other examples.

Github's 100mb file limit won't catch everything, especially with compression. Asumming a whitelist is probably safer than a blacklist.

Arguably html md and pdf could contain disclosive info that isn't visible when rendered but i think that's a separate issue.

May need a system request additional file types.

主要言語
Python
スター
0
フォーク
0
平均マージ
12時間 47分
マージ済み PR（30日）
2

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

opensafely-core/sysadmin のほかの issue

opensafely-core/sysadmin の issue をすべて見る

似ている issue

Python の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。