rndhouse/vcamperPoC: identificare patch di sicurezza silenziose prima della CVE
VCamper ("Version Camper") è una CLI proof-of-concept che esamina un intervallo di commit Git alla ricerca di probabili fix di sicurezza silenziosi.
I fix di sicurezza spesso raggiungono la storia pubblica di Git prima che la traccia degli advisory li raggiunga. Un commit dall'aspetto manutentivo può contenere prove sufficienti affinché un revisore possa dedurre il percorso del bug e la probabile conseguenza.
VCamper trasforma quel flusso di lavoro di diff tra release in una raccolta di prove ripetibile. Raccoglie la patch di ogni candidato e gli snapshot dei file modificati. Registra un piano di hotspot prima di chiedere a un agente di selezionare e verificare i commit con maggiori probabilità di essere rilevanti.
Segui gli aggiornamenti: x.com/rndhouse
curl ha corretto CVE-2025-0725 nel commit 76f83f0db23846e254d940ec7fe141010077eb88. Il titolo content_encoding: drop support for zlib before 1.2.0.4 sembra manutenzione di compatibilità. Il fix è arrivato nel repository GitHub di curl il 2025-01-24 tramite PR #16079. curl ha pubblicato l'advisory il 2025-02-05. Ciò ha lasciato circa 12 giorni tra codice pubblico e advisory pubblico. Fonti: advisory curl e .
Questo comando analizza quel commit di fix da solo:
cargo run -- analyze \
--repo /path/to/curl \
--from 76f83f0db23846e254d940ec7fe141010077eb88 \
--to 76f83f0db23846e254d940ec7fe141010077eb88 \
--provider codex \
--model gpt-5.4 \
--screen-effort medium \
--verify-effort high \
--out /tmp/vcamper-curl-cve-2025-0725
VCamper ha segnalato il commit come rilevante per la sicurezza con confidenza 0.95. Il risultato ha ricondotto il fallback gzip della vecchia zlib rimosso a un percorso di esaurimento della memoria remoto lato client: un server poteva mantenere curl in buffering di byte dell'header gzip controllati dall'attaccante fino all'esaurimento della memoria. Il verificatore ha identificato lo stato rilevante come GZIP_UNDERFLOW; i campi opzionali dell'header gzip potevano continuare a non avere il loro NUL di terminazione mentre curl continuava a riallocare e aggiungere byte a z->next_in.
L'esecuzione ha usato il solo commit di fix pubblico; il testo della CVE è rimasto fuori dall'analisi. Il risultato corrispondeva al percorso vulnerabile del fallback della vecchia zlib e riportava la conseguenza supportata come DoS remoto da consumo di risorse. L'advisory di curl usa la classificazione più ampia CWE-680.
wolfSSL ha corretto CVE-2026-5194 nel commit abce5be989ccd0665e2b9445abb856886975dfd1 della PR #10131. Il titolo del commit era 20260403-WC_FIPS_186. Questo è un caso più difficile di curl perché la patch mescola lavoro di conformità FIPS 186 con modifiche a test e verifica. Tocca codice ASN.1 ed ECC in wolfcrypt/src/. Raggiunge anche i percorsi TLS e PKCS#7.
Questo commit mostra perché VCamper usa passaggi Codex a fasi. Un prompt ampio tendeva a derivare verso una singola storia di bug locale. La pipeline a fasi ha mantenuto vive teorie separate e ha portato alla luce tre risultati verificati dallo stesso commit:
signatureAlgorithm / famiglia di chiavi ASN.1 in ConfirmSignatureIl finalista composito porta il segnale principale. L'esecuzione finale a fasi ha confermato un risultato 0.90 secondo cui la verifica di oggetti firmati lasciava che gli OID della firma controllati dall'attaccante indirizzassero la verifica ECDSA verso digest non corrispondenti o al di sotto della policy. La CVE pubblicata enfatizza anche l'abilitazione mista EdDSA / ML-DSA. VCamper è atterrato nella stessa famiglia di patch. Ha preservato più teorie e le ha verificate in modo indipendente. Ha anche recuperato il confine di verifica condiviso.
Questo comando mostra il comportamento attuale del prototipo su quel commit:
cargo run -- analyze \
--repo /path/to/wolfssl \
--from abce5be989ccd0665e2b9445abb856886975dfd1 \
--to abce5be989ccd0665e2b9445abb856886975dfd1 \
--provider codex \
--model gpt-5.4 \
--screen-effort xhigh \
--verify-effort xhigh \
--inventory-focuses 0,1,3,4,9 \
--out /tmp/vcamper-wolfssl-cve-2026-5194
Questo comando usa una shortlist di hotspot curata perché il commit è insolitamente rumoroso. L'esecuzione ha recuperato la famiglia di patch rilevante e una teoria utile di verifica di oggetti firmati compositi da un commit che sembra churn di conformità. Per commit crittografici difficili il prototipo può recuperare confini di fiducia condivisi. Può anche mantenere vive più storie di sicurezza verificate. Un allineamento più stretto con la narrativa della CVE richiede un ragionamento più forte sulle funzionalità miste nelle fasi successive.
cargo run -- analyze \
--repo /path/to/repo \
--from <older-release-commit> \
--to <newer-release-commit> \
--provider codex \
--model gpt-5.4 \
--screen-effort medium \
--verify-effort high \
--out /tmp/vcamper-run
gitcodexclaude