usebruno/bruno

Consider using stronger ACL on Environment files

Open

#2,016 opened on 2024年4月4日

GitHub で見る
 (1 comment) (1 reaction) (0 assignees)JavaScript (43,787 stars) (2,403 forks)batch import
good first issuehelp wantedmodule-environmentsmodule-filesystemmodule-security

説明

Issue

When an Environment file is created, it is typically stored in the environments directory. On 'nix/BSD environments, those files are stored with world-readable perms (644 to be exact). While there is already some protection for sensitive data by using the "Secrets" checkbox, I could see people who accidentally/mistakenly still store sensitive creds and keys which could expose them.

I'd recommend you set an ACL for the Environment files to 600 by default. I can confirm that Bruno will continue to read and write to them just fine with those permissions set.

コントリビューターガイド

技術スタック
javascriptelectron
領域
securitydesktop
Issue 種別
feature
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
3
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
1-3 hours
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
fresh
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
clear
前提条件
Node.js file systemchmod usage
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
75
調査方針
The issue proposes modifying the default file permissions for environment files from 644 to 600. Look for the code that creates environment files, likely in the app's file handling modules. The change is straightforward: set the file mode to 0o600 when writing. Test that reading and writing still works after the change.