aquasecurity/trivy

fix: scan `.git/config` for secrets

Open

#6.699 aberto em 16 de mai. de 2024

Ver no GitHub
 (2 comments) (5 reactions) (1 assignee)Go (371 forks)batch import
help wantedscan/secret

Métricas do repositório

Stars
 (35.000 stars)
Métricas de merge de PR
 (Mesclagem média 5d 2h) (53 fundiu PRs em 30d)

Description

Description

Trivy currently skips **/.git for efficiency. https://github.com/aquasecurity/trivy/blob/88702cfd5918b093defc5b5580f7cbf16f5f2417/pkg/fanal/walker/walk.go#L18

However, .git/config could sometimes include credentials (see https://github.com/aquasecurity/trivy/pull/5180#discussion_r1601445169). These directories shouldn't be skipped.

Guia do colaborador

Direção de pesquisa
Investigue o código do walker em pkg/fanal/walker/walk.go para incluir .git/config na varredura, enquanto ainda pula outros diretórios/arquivos .git por eficiência.
Pilha de tecnologia
go
Domain
securitybackend
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitGo
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75