SEC-A Cross-Station Authorization Flaw: Fix for Anonymous Access to Private Vector Tiles

漏洞关键信息总结 漏洞概述 漏洞编号：SEC-A（Phase 1038/SEC-A，匿名访问，HIGH 级别） 漏洞描述：跨站授权漏洞（cross-station authorization flaw），位于匿名地图读取端点。 和 仅授权访问私有数据集的元数据（table_name、column_info、feature_count、extent、sample_values），但未授权访问该数据集的实际矢量瓦片（vector tiles）。 可达性： 绑定到匿名用户， 接受无用户上下文的签名 URL，因此匿名调用者可以读取私有数据集的实际矢量瓦片。 可达性补充： 验证 仅针对调用者（admin/owner）；向已公开的地图添加图层时，若未验证，匿名者可以将其私有数据集附加到公开地图（现有 / RBAC 过滤恰好排除了这种状态可达性）。 影响范围 影响端点： 、 影响数据：私有数据集的矢量瓦片（vector tiles） 影响用户：匿名调用者（no user context） 修复方案 修复提交： 修复内容： - 在 中， 的 和 过滤了被附加的图层行，通过 丢弃那些对调用者不可见的图层（admin/owner 保留自己的，匿名者仅看到 ）。 - 两个 GET 处理器在获取地图访问检查后、构建响应前过滤图层集。 - 丢弃被排除的图层，并签名 URL 以包含数据集来源和 的 变更。 - 重新导出端点将地图服务固定到 ，并添加 的 变更。 - 遵循代码库既有的 设计（ 、 、RBAC），而非阻塞写入——因为公开地图可能仍包含非公开图层，现在隐藏来自未授权读取者。 被放弃的方案 原计划包含一个可选的防御性深度检查，用于拒绝添加非公开数据集到公开地图。该测试状态显示 （构造暴露状态以公开数据集的 RBAC 过滤）并符合代码库的 哲学。读取路径中的地图服务固定到 是 SEC-A 的权威修复。 测试 测试文件： 测试用例： - REG-1： （省略私有数据集图层，无元数据/sample_values 泄露） - REG-2： （省略私有数据集来源 + 可替换的签名 URL） - REG-3（控制）：公开数据集图层保持可见——守卫不会过度过滤 - REG-4： 覆盖时仍能看到自己的私有图层——守卫保持读取路径访问 验证结果：REG-1 和 REG-2 在修复前失败，修复后通过。 绿色（150），加上 / / / （57）——无回归。仅授权逻辑，无模式变更。 相关修复（同一批次）

目標達成すべての支援者に感謝 — 100%達成しました！

SEC-A Cross-Station Authorization Flaw: Fix for Anonymous Access to Private Vector Tiles

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

SEC-A Cross-Station Authorization Flaw: Fix for Anonymous Access to Private Vector Tiles

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！