Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

fix(updater): verify the signer identity, not just the seal, on macOS updates

Đang mở
  • Có gì không ổn?
#1,588 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
43/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
dart, flutter, macos
Lĩnh vực
desktop, security

Hướng nghiên cứu

Start by reading MacosSparkleInstaller._verifyCodesign and trace how the running app and downloaded bundle are identified during macOS updates. Compare the available codesign or spctl checks with the unsigned-install fallback described in the issue. Done means updates accept the same signer identity and reject a differently signed bundle, with a documented check for ad-hoc installs.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug P2 security

Problem

MacosSparkleInstaller._verifyCodesign runs codesign --verify --deep --strict on the downloaded bundle. That proves the seal is intact, not who signed it: any validly signed (even ad-hoc) bundle in the zip passes and replaces the installed app.

Expected

Require the new bundle to be signed by the same identity as the running app (compare Team ID / designated requirement via codesign -dv / codesign -R, or spctl --assess --type execute), and refuse otherwise. For unsigned (ad-hoc) installs, fall back to a documented check such as the release checksum.

Notes

The zip comes from GitHub over HTTPS, so exposure needs a compromised release, but this is the check meant to defend against it.

Ngôn ngữ chính
Dart
Star
23
Fork
1
Merge trung bình
31 phút
Pull request đã merge (30 ngày)
570

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của QueryaHub/Querya-Desktop

Tất cả issue của QueryaHub/Querya-Desktop

Issue tương tự

Thêm issue về Dart

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.