security(logs): 隧道 token 明文写入 INFO 日志——任何日志读取者即成为隧道接管者
Maintainer thường phản hồi trong vòng 7 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 1/5
- Thời gian dự kiến
- Dưới một giờ
- Mức phù hợp với người mới
- 85/100
Hướng nghiên cứu
Bắt đầu tại python/tunely/server.py:539-542, log INFO 跳过注销 chèn toàn bộ token tun_<32B>. Quét repo để tìm các câu lệnh log khác có đụng đến token (mã client trong python/ts/rust được báo cáo là sạch) và xác nhận deploy/README §5 về chuyển tiếp journald. Hoàn thành khi không token đầy đủ nào có thể đến được đích log — chỉ ghi log token[:8] kèm dấu ba chấm hoặc sha256(token)[:8] — và đường force-preempt/reconnect vẫn ghi log đủ để hữu ích.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
场景 gap 单（okguitar 提报）· 优先级 P1 · 依赖：无
基线 HEAD = 020dec3。
Summary
python/tunely/server.py:539-542：logger.info(f"跳过注销: token={token} 已被新连接接管 (domain=...)")——完整tun_<32B>token 落 journald（deploy/README §5 明确日志进 journald 且会被转发/聚合）。（已亲读确认。）- 这是全仓唯一把完整 token 落日志处（python/ts/rust 客户端已扫无第二处），且"force 抢占/重连抖动"时高频出现。
影响
token = 隧道全部凭证：拿到即可 --force 静默抢占生产隧道并读懂经隧道的全部明文流量（无 E2E 加密已定论）。与 PROBE_HARDENING T5 消除"token 存在性 oracle"的投入直接矛盾。
建议
改打 token[:8]+"…" 或 sha256(token)[:8]。
- Ngôn ngữ chính
- Python
- Star
- 0
- Fork
- 0
- Merge trung bình
- 6 ngày 2 giờ
- Pull request đã merge (30 ngày)
- 2
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của jeffkit/tunely
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 85/100
Maintainer thường phản hồi trong vòng 7 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 87/100
Maintainer thường phản hồi trong vòng 7 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
jeffkit/tunely#24 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 7 ngày
-
fix(release): 发布链 fail-open（缺 secret 时 Actions 绿但什么都没发）+ PyPI 上的 0.10.0 恰是 /forward 无鉴权的安全缺口版本Đang mở
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 34/100
jeffkit/tunely#23 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 7 ngày
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 45/100
jeffkit/tunely#21 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 7 ngày
Tất cả issue của jeffkit/tunely
Issue tương tự
-
Project submission:Đang mở
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 72/100
slavakurilyak/awesome-ai-agents#845 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
tests: pin that the atomic writers in utils/paths.py stage the temporary file in the target's directoryCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mởdifficulty:2 enhancement good first issue
Độ khó 1/5 1-3 giờ Mức phù hợp với người mới 92/100
MakazhanAlpamys/Soup#2178 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
[BUG] dcg.waggr permutation p-values are folded twice, so near-zero scores get the smallest p-valuesĐang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
scverse/rapids-singlecell#854 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Slang input: int8_t4_packed and uint8_t4_packed are copied into CrossGLCó thể đã có người làm @ninglinLiu đã nhận hôm nay. Đang mởarea:frontend backend:slang bug direction:input
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
Maintainer thường phản hồi trong vòng 1 ngày
-
random_elements(unique=True) on an OrderedDict: ZeroDivisionError once only zero weights remain, AssertionError with use_weighting=FalseCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100
Maintainer thường phản hồi trong vòng 13 ngày