False positive: Env var is from config, not vault, and contains the name of another env var
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 35/100
Direção de pesquisa
Comece pelo código vinculado em crates/config/src/embeddings.rs nas linhas 76-79 e inspecione o alerta de code-scanning 5068 para identificar a consulta do CodeQL e o caminho do fluxo de dados que produzem a descoberta. Considera-se concluído quando esse valor de configuração não for mais reportado como saída secreta, enquanto a exposição de segredos genuínos de variáveis de ambiente continuar sendo detectada.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Description of the false positive
This flagged for outputting the value of an environment variable to logs. Generally, that could be a problem. In this case, the env var clearly contained the name of another env var to look in for the secret. Is there a way to not flag in this situation? For example, could we determine that this environment variable came from a k8s env var (where secrets are not allowed) as opposed to from vault?
Code samples or links to source code
URL to the alert on GitHub code scanning (optional)
https://github.com/github/blackbird/security/code-scanning/5068
- Linguagem predominante
- CodeQL
- Estrelas
- 10.1k
- Forks
- 2.1k
- Merge médio
- 2d 10h
- PRs com merge (30d)
- 134
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/codeql
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
-
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
-
false-positive
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
-
false-positive
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 68/100
Todas as issues de github/codeql
Issues semelhantes
-
Product: Azure Policy :shield: Topic: Diagnostic Settings :test_tube: Topic: Policy :pencil:
Dificuldade 1/5 1-3 horas Facilidade para iniciantes 92/100
Azure/Azure-Landing-Zones#4283 · 1 comentário ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 88/100
MystenLabs/MemWal#979 · 1 comentário ·
-
Claiming namespace [Tafanee] Abertanamespace operations
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 82/100
EclipseFdn/open-vsx.org#13384 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
-
documentation
Dificuldade 2/5 Meio dia Facilidade para iniciantes 62/100
inmanta/inmanta-core#10835 ·