abraxas/t3code-release-checksum-same-originبقايا سلسلة التوريد T3 Code 61c3794c. يتحقق المُحدِّث من SHA256SUMS من نفس المصدر الذي تأتي منه الأرشيف. لا يوجد توقيع. مختبر الاسترجاع.
يتحقق المُحدِّث من ملف SHA-256 موجود بجوار التنزيل. إذا سيطرت على مضيف التنزيل، فستسيطر على المجموع الاختباري أيضًا. لا يوجد توقيع على هذا المسار. لا يزال التلف العرضي يفشل. أما الزوج المُستبدل من نفس الأصل فيُثبَّت.
الفئة: سلسلة التوريد
الوصول: سلسلة التوريد (من يتحكم في releaseBaseUrl)
T3 Code 61c3794c - Ping
| المعرّف | لا يوجد CVE بعد |
| الفئة | سلسلة التوريد |
| الوصول | سلسلة التوريد (مضيف إصدار مخترق، أو CDN، أو DNS/TLS على ذلك الأصل) |
| CWE | CWE-345 / CWE-494 |
| CVSS | متوسط: 6.8 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
| المنتج | T3 Code |
| المتأثر | 61c3794c32b0eeebfac09add43e403618c65d2d7 |
| المصادقة | لا شيء على الضحية بمجرد سيطرة الناشر؛ تشغّل الضحية عملية تثبيت أو تحديث |
| الترخيص | GNU Affero GPL v3.0 |
| المختبر | ناشر loopback 127.0.0.1:18192؛ tar محاكى بحيث لا تُنفَّذ بايتات الأرشيف أبدًا |
يحتاج إلى التحكم في الأصل الذي يقدّم كلاً من SHA256SUMS والأرشيف (releaseBaseUrl / GitHub Releases لذلك البناء). لا يحتاج إلى حساب T3 على الضحية.
| الامتياز | الطريقة / نقطة الوصول | الاستطلاع / السلامة / التوافر | مُثبت مختبريًا أو مُستنتج |
|---|---|---|---|
| نشر أرشيف ومجموع اختباري متطابقين من أصل واحد | ensurePinnedRuntimeInstalled يجلب ${baseUrl}/SHA256SUMS ثم ${baseUrl}/${fileName}، ومقارنة SHA-256 | السلامة (تثبيت مقبول) | مُثبت مختبريًا. checksum-pass=1، الشاهد t3f02s9m4 في كلا الملفين |
| تشغيل التحديث الذاتي / خدمة الإقلاع عبر نفس المساعد | selfUpdate.ts، bootService.ts تمرّر releaseBaseUrl | السلامة | المصدر. استدعى المختبر المساعد مباشرة |
| تنفيذ الملف الثنائي المثبَّت بعد الاستخراج | tar -xf ثم تشغيل t3 | السلامة / التوافر | مُستنتج. حاكى المختبر tar ولم ينفّذ البايتات |
| الضابط السلبي: مجموع اختباري غير متطابق | نفس المساعد، أصفار في SHA256SUMS | لا ينطبق | مُثبت مختبريًا. الخطوة verifying the t3 release archive checksum |
يبقى مغلقًا في هذه البقايا
| المحور | الطريقة / نقطة الوصول | لماذا هو مغلق |
|---|---|---|
| السلامة | انقلاب بت عرضي أثناء النقل | عدم تطابق SHA-256 يرفض الاستخراج |
| السلامة | أصل إضافي غير موقَّع | استخدم المختبر عنوان URL أساسي واحد؛ لا يُستشار أصل ثانٍ أبدًا لأنه غير موجود |
| السلامة | تنفيذ هذا المختبر لبايتات المهاجم | tar محاكى؛ extracted-binary-executed=0 |
signature-check=0 على كتلة التنزيل+البصمة ومستدعي التحديث الذاتي / خدمة الإقلاع (لا minisign، ولا cosign، ولا GPG، ولا sigstore).
يبني pinnedRuntime.ts كلا عنواني URL من cliReleaseDownloadBaseUrl. تفرض الاختبارات داخل الشجرة بالفعل نجاح المجموع الاختباري من نفس الأصل وفشل عدم التطابق. وهي لا تتطلب توقيعًا.
المنعطفات الخاطئة: التعامل مع المجموع الاختباري كأداة مصادقة للناشر.
python3 t3code-release-checksum-same-origin-Abraxas-Labs.py
أو:
cd lab
./run.sh
ناشر HTTP عبر Loopback على 127.0.0.1:18192. يستخدم ensurePinnedRuntimeInstalled في بيئة الإنتاج Effect fetch مقابل ذلك الأصل. عمليات تثبيت الزوج المتطابق (استخراج وهمي). يتوقف الزوج غير المتطابق عند التحقق.
IOC loopback-bound=127.0.0.1:18192
IOC same-origin=1
IOC checksum-pass=1
IOC checksum-fail=1
IOC signature-check=0
IOC tar-mocked=1
IOC extracted-binary-executed=0
SUCCESS T3-F02-CHECKSUM t3f02s9m4
وقّع بيان checksum (minisign أو cosign أو GPG) وضمّن المفتاح العام في الملف الثنائي. تحقق من التوقيع قبل تحليل SHA256SUMS. ثبّت مصدر الإصدار على مرجع موقّع غير قابل للتغيير.
61c3794c32b0eeebfac09add43e403618c65d2d7pinnedRuntime.ts download+digestGNU Affero GPL v3.0. راجع LICENSE. مختبر loopback فقط. دون أي ضمان.
مختبرات أبراكساس [email protected]
يُرجى نسب CVE إلى Abraxas Labs.