Kristian WindandClaude Opus 5
4aa8bd6a40
Release / Build and publish image (push) Failing after 9m54s
**H2 — SSRF gennem AI-udbyderens adresse.** `base_url` blev gemt uden kontrol og hentet med en almindelig klient, og udbyderens svar blev givet tilbage ordret. Det var en fungerende skanner af det interne net for enhver bruger: peg den på en vært, læs de første tre hundrede bytes af det, der svarede. På en homelab er det det meste af, hvad der er værd at nå. Nu gennem `safedial`, og svarets krop går i loggen frem for i svaret. Operatøren har stadig brug for beskeden — for en lokal model er den som regel selve problemet — så den er der, bare kun for den, der kører instansen. **M2 — Web Push havde tre.** Endepunktet blev gemt ukontrolleret og POSTet til på en tidsplan, den, der ringer, selv vælger: sæt en påmindelse et minut ude, og serveren henter adressen, hvert minut. Upserten flyttede desuden ejerskabet med `user_id = excluded.user_id`, så enhver, der kendte en andens endepunkt, kunne overtage det — offerets telefon ville få angriberens beskeder og ingen af sine egne. Og `DeletePushSubscription` havde ingen ejer-kontrol. **H3 — tre veje uden loft.** FTS-udtrykket byggede omkring halvtreds bytes pr. ord uden grænse; en søgning på en kvart megabyte blev til to megabyte MATCH-udtryk og seksogtyve sekunder inde i SQLite, mens den holdt på én af kun fire til otte forbindelser. Nogle få af dem samtidig, og databasen er utilgængelig for alle på instansen, logins inklusive. `filterquery.Parse` er kvadratisk — halvtreds tusind led er syv sekunders CPU og seksogfyrre gigabyte allokering i én forespørgsel — og havde hverken loft på antal eller på dybde. Og noteimporten læste hver fil i arkivet uden grænse: 64 MB komprimeret kan blive til seksogtres gigabyte skrevet ned på den disk, databasen ligger på. **M1 — `comment_id` blev taget på tro.** Rettighedskontrollen så på opgaven i adressen, mens filen blev hængt på den kommentar, formularen bad om. En viewer på et delt projekt kan liste dets kommentarer, så hun kunne læse et id og lægge en fil under en andens kommentar i et projekt, hun kun må læse. **M4 — fire hemmeligheder lå i klartekst i hver sikkerhedskopi.** TOTP-koden og AI-nøglen forsegles nu; begge konverterer sig selv næste gang de skrives. Kalenderfeedets og mailadressens tokens gør ikke — de slås op på deres præcise værdi og vises i fladen mere end én gang, hvilket en hash ikke kan. Det står nu skrevet i `SECURITY.md`, som påstod det modsatte. At rette det betyder, at adressen kun kan vises én gang, og det er en beslutning om, hvordan funktionen virker. Og en prøve på, at politikken overhovedet bliver sendt. Det var den, der gjorde XSS-en i nat til indsat HTML frem for kørt script, og der var ingen prøve, der rørte den — en foranstaltning, ingen prøve rører, kan forsvinde i en oprydning, uden at nogen opdager det. Målt på script-src alene: `style-src 'unsafe-inline'` står der med vilje, og en indsat stil kan gøre en side grim, ikke køre kode. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
78 lines
2.3 KiB
Go
78 lines
2.3 KiB
Go
package httpapi
|
|
|
|
import (
|
|
"archive/zip"
|
|
"bytes"
|
|
"io"
|
|
"testing"
|
|
)
|
|
|
|
// En zip-bombe skal ikke kunne skrive gigabyte ned på den disk, databasen ligger
|
|
// på.
|
|
//
|
|
// Uploaden er begrænset til 64 MB, og det siger ingenting om, hvad de 64 MB
|
|
// bliver til: deflate når omkring 1032:1, så de kan pakkes ud til seksogtres
|
|
// gigabyte. Prøven bygger en rigtig lille bombe — fire megabyte nuller, som
|
|
// pakker til nogle få kilobyte — og ser efter, at loftet på det udpakkede holder.
|
|
//
|
|
// Skrevet imod tallene frem for imod endepunktet, fordi det, der skal holde, er
|
|
// forholdet: en fil, hvis udpakkede størrelse overstiger loftet, må ikke læses
|
|
// færdig.
|
|
func TestAZipBombIsRefusedByItsUnpackedSize(t *testing.T) {
|
|
var buf bytes.Buffer
|
|
zw := zip.NewWriter(&buf)
|
|
w, err := zw.Create("bombe.bin")
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
// Nuller pakker næsten helt væk. Fire megabyte er nok til at vise forholdet
|
|
// uden at prøven selv bruger en gigabyte.
|
|
if _, err := w.Write(make([]byte, 4<<20)); err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
if err := zw.Close(); err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
|
|
packed := int64(buf.Len())
|
|
if packed > 64<<10 {
|
|
t.Fatalf("prøvens egen bombe pakkede kun til %d bytes; den viser ikke noget", packed)
|
|
}
|
|
|
|
zr, err := zip.NewReader(bytes.NewReader(buf.Bytes()), packed)
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
f := zr.File[0]
|
|
if f.UncompressedSize64 != 4<<20 {
|
|
t.Fatalf("udpakket størrelse = %d", f.UncompressedSize64)
|
|
}
|
|
|
|
// Det, importen gør: læs højst det, budgettet tillader, plus én byte — så en
|
|
// fil, der er præcis på grænsen, kan skelnes fra en, der er over.
|
|
rc, err := f.Open()
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
defer rc.Close()
|
|
budget := int64(1 << 20)
|
|
n, err := io.Copy(io.Discard, io.LimitReader(rc, budget+1))
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
if n <= budget {
|
|
t.Fatalf("læste %d bytes af en fil på 4 MB med et budget på %d — loftet fanger den ikke", n, budget)
|
|
}
|
|
}
|
|
|
|
// Tallene skal stå i et forhold, der giver mening: en enkelt fil må aldrig kunne
|
|
// bruge hele arkivets budget, og arkivet må ikke være mindre end én fil.
|
|
func TestTheImportCeilingsAgreeWithEachOther(t *testing.T) {
|
|
if maxNoteImportUnpacked <= maxUploadBytes {
|
|
t.Error("arkivets budget er ikke større end én enkelt fil")
|
|
}
|
|
if maxNoteImportFiles < 2000 {
|
|
t.Error("filloftet er under det, en rigtig Apple Noter-eksport indeholder")
|
|
}
|
|
}
|