2.1.26
M ột bản phát hành bảo mật. Hãy cập nhật.
Đã sửa
- 52 lỗ hổng thư viện chuẩn có thể tới được từ hai panel, được xoá sạch bằng cách build trên Go 1.27.1.
- Tám khuyến cáo trong các phụ thuộc của webmail, bốn trong số đó nằm trên đường dẫn mã gửi thư.
- Một kiểm tra nguồn gốc CSRF bị bỏ qua đúng bởi những yêu cầu đáng kiểm tra nhất.
Đã thay đổi
- Mười lăm trang được thêm trong hai bản phát hành gần nhất giờ theo đúng bố cục riêng của panel.
Ghi chú
Bốn mươi khuyến cáo đã được theo dõi, mỗi khuyến cáo một phiếu. Ba mươi tám được sửa; hai được chấp nhận với lập luận được viết ra, vì không có bản sửa nào cho chúng.
Lần quét tìm thấy nhiều hơn các cảnh báo. Các cảnh báo phụ thuộc của GitHub
báo mười phát hiện trên toàn dự án. Chạy govulncheck — công cụ hỏi
mã dễ bị tổn thương có thực sự tới được từ mã của ta hay không, thay vì
chỉ có mặt — tìm thấy thêm 52, tất cả đều nằm trong thư viện chuẩn của Go
và vô hình với một bộ quét chỉ đọc các phụ thuộc đã khai báo.
Cả hai panel ghim Go 1.26.0; khuyến cáo mới nhất cần 1.27.0. Giờ chúng được
build trên 1.27.1, và govulncheck báo 0 lỗ hổng tới được cho
cả hai, giảm từ 29 và 23.
Những lỗi của webmail không phải lý thuyết. Bốn khuyến cáo nodemailer liên quan tới
phân tích địa chỉ và kiểm tra tên miền người nhận — những quyết định mà máy chủ này đưa ra
về nơi thư được phép đi — và một khuyến cáo liên quan tới đường dẫn tệp đính kèm. Bản
nâng cấp được xác minh bằng cách gửi một thư thật qua bản đã triển khai vào
một hộp thư thật và xác nhận phần thân, tệp đính kèm và cấu trúc MIME
đến nguyên vẹn, vì một bản vá bảo mật mà lặng lẽ làm hỏng đường gửi
là kết quả tệ nhất có thể. react-router đi từ 6 lên 7, một phiên bản chính,
được kiểm tra bằng cách build ứng dụng thay vì đọc một nhật ký thay đổi.
Lỗi CSRF đáng đọc đầy đủ. gorilla/csrf không có bản vá nào đã phát hành, nên
không thể đóng bằng cách nâng phiên bản. Một cổng nguồn gốc đã có ở đây — nhưng nó nằm sau
nhánh miễn trừ, nên bốn đường dẫn bỏ qua token CSRF cũng bỏ qua cả cổng.
Ba trong số đó là giữa máy chủ với máy chủ và dù sao cũng không gửi Origin.
Đường thứ tư, /imav/, được truy cập bằng cookie phiên của chính panel này, khiến
một POST có xác thực phiên mà không gì hỏi nguồn gốc của nó. Cũng đáng nói rõ: cookie
phiên vốn đã HttpOnly và SameSite=Lax, nên một POST giả mạo từ trang khác
tới nơi mà không xác thực trong mọi trình duyệt hiện nay. Kiểm tra này là
dây đai bổ sung cho các dây đeo đó, không phải một cánh cửa đang mở toang.
Những gì không được sửa, và vì sao. Hai khuyến cáo image-size mang nhãn "high"
và không có phiên bản vá — 2.0.2 vừa là phiên bản đã cài vừa là bản mới nhất tồn tại.
Nó chạy lúc build, trong CI, trên các ảnh được commit vào kho mã của chính chúng ta;
không gì khách truy cập tải lên chạm tới nó và nó không được cài trên máy chủ nào.
Việc ghim nó qua yarn resolutions đã được thử và hoàn lại: nó không
thay đổi kết quả kiểm toán chút nào, và ép năm phiên bản không tương thích với
những gì các gói thực sự yêu cầu. Lập luận nằm trong website/SECURITY-NOTES.md
thay vì trong trí nhớ của ai đó.