GHSA-32g3-35g9-wc9g: @huml/drift Classifier Fails Open on Adapter Errors

漏洞概述 漏洞名称: Drift classifier fails open on adapter errors and over-promotes Mixed verdicts 漏洞编号: GHSA-32g3-35g9-wc9g 严重程度: Medium CWE编号: CWE-755 (Improper Handling of Exceptional Conditions) 描述 受影响版本: < 1.4.0 修复版本: 1.4.0 摘要 运行四个适配器，每个适配器询问不同的问题，以确定资源是否已漂移（如状态更改、provider版本更改、CloudTrail事件等）。分类器将适配器的答案合并为一个判决，如 、 、 或 ，并默认缓存该判决6小时。 两个相关漏洞源于同一根本原因：分类器仅读取每个适配器的 状态，而忽略了适配器本身是否成功。 1. 适配器失败时缓存“全部清除”：当适配器失败（例如，来自自动化API的网络瞬态错误）时，分类器读取 ，得出结论“无漂移”，并缓存该判决为 6小时。单个瞬态故障可能会掩盖其余时间窗口内的真实 console-break-glass 突变。 2. 无真实证据的混合判决： 和 判决（事件严重性）可能会在“CloudTrail探针轮询成功”信号而非实际证据的情况下触发。这可能导致正常provider-API调用被错误地提升为事件严重性。 影响 CI/cron 中的消费者可能会看到瞬态适配器故障被静默缓存为“全部清除”，从而掩盖真实攻击长达6小时。 或者，普通provider版本更改可能会错误地提升为事件严重性。无论哪种情况，判决源对于下游事件工作流来说都是不可靠的。 补丁 升级到 。分类器修复（与TLA+验证的6行判决矩阵完全相同）： - 适配器失败现在被归类为 ，且降级判决不会写入缓存。 - 提升现在需要真实的CloudTrail事件证据，而不是探针活性。 变通方法 在分类器调用中设置 可以防止 从缓存中被降级（它不满足阈值），部分缓解案例(1)。案例(2)没有变通方法。 参考 PR #178 (Cluster D): 回归测试在 中。

目標達成すべての支援者に感謝 — 100%達成しました！

GHSA-32g3-35g9-wc9g: @huml/drift Classifier Fails Open on Adapter Errors

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

GHSA-32g3-35g9-wc9g: @huml/drift Classifier Fails Open on Adapter Errors

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！