sharp-rsvg-rce-check

Автономный инструмент проверки свидетельств для CVE-2026-96889 / GHSA-wq5f-xc86-pv6w — уязвимости памяти в librsvg, используемой через Sharp. Он классифицирует версии, происхождение и конфигурацию, которые вы указываете; он не проверяет работающую систему.

Содержание

• Область применения
• Требования
• Быстрый старт
• Предпросмотр синтетического отчёта
• Использование
• Чтение результата
• Снимок проверенных правил
• Локальные метаданные и адаптеры источников
• Выходные данные и защита отчёта
• Ограничения
• Документация
• Разработка
• Лицензия

Область применения

Инструмент проверки раздельно учитывает выбранную нативную библиотеку, заявленную версию, происхождение, платформу, libc, путь к входному SVG и параметры усиления защиты. Он не импортирует Sharp, не запускает приложения, не декодирует изображения, не отправляет пробы, не проверяет достижимость и не выявляет компрометацию. Каждый результат сохраняет exploitability: not_tested.

Результаты описывают предоставленные свидетельства, а не проверенное состояние среды выполнения. Используйте инструмент только для активов, которые вы уполномочены оценивать, и храните реальные инвентаризации и отчёты вне системы контроля версий.

Требования

• Python 3.10 или новее. Используйте python3 или исполняемый файл с указанием версии, где это уместно; python --version должен показывать 3.10 или новее.
• Единственный файл sharp_rsvg_rce_check.py. Пакеты, Node.js, сопутствующие файлы или доступ к сети не требуются.

Быстрый старт

python sharp_rsvg_rce_check.py --sharp-version 0.35.4 --library-source bundled --sharp-build-source upstream
python sharp_rsvg_rce_check.py --sharp-version 0.35.5 --library-source bundled --sharp-build-source upstream
python sharp_rsvg_rce_check.py --library-source global --librsvg-version 2.63.2 --librsvg-build-source upstream
python sharp_rsvg_rce_check.py --inventory examples/inventory.json --format json
python sharp_rsvg_rce_check.py --inventory examples/inventory.json --format html --output report.html

Первые две команды оценивают официальный пакет Sharp ниже и на его заявленном исправлении, третья — независимо заявленный глобальный librsvg, а последние две — синтетический инвентарь. examples/inventory.json является синтетическим. Без --output отчёт выводится в stdout (по умолчанию JSON).

Предпросмотр синтетического отчёта

Открыть синтетический пример отчёта. Только пример данных; это не живая оценка. Изображения предпросмотра — скриншоты этого примера, а не вывод реальной системы.

Использование

Запустите python sharp_rsvg_rce_check.py --help, чтобы получить полный список опций. Укажите инвентарь, хотя бы одну заявленную версию или явные файлы адаптеров:

• --inventory FILE — ограниченный JSON-инвентарь схемы v1. Его нельзя комбинировать с опциями для отдельных активов.
• Заявленная версия с опциями для отдельных активов, такими как --sharp-version, --librsvg-version, --library-source, --platform, --libc, --node-pie, --svg-decoder и --untrusted-svg. --sharp-version и --librsvg-version можно указывать повторно, чтобы конфликтующие наблюдения сохранялись, а не объединялись.
• Явные локальные файлы метаданных или исходного кода, которые также требуют --evidence-root (см. Локальные метаданные и адаптеры исходного кода).

Ни один каталог не сканируется неявно. Значения полей, границы и формат инвентаря описаны в справочнике и схеме инвентаря.

Выбор библиотеки и происхождение

• --library-source bundled означает, что развёрнутый процесс, по заявлению, использует официальный пакет Sharp.
• --sharp-build-source upstream — это утверждение оператора, а не проверенное происхождение.
• Один лишь номер пакета Sharp не позволяет идентифицировать глобальную библиотеку. В этом случае используйте --library-source global с независимыми свидетельствами о нативной библиотеке (--librsvg-version, --librsvg-build-source).
• Неизвестный выбор остаётся неизвестным.

Чтение результата

Статус	Значение
unknown	Выбор, точная версия, происхождение или поддерживаемое покрытие правил не позволяют установить состояние патча выбранного компонента.
potentially_affected	Заявленный официальный пакет Sharp ниже своего исправления. Условия среды выполнения учитываются отдельно; это не подтверждает эксплуатируемость.
precondition_present	Этот затронутый пакет и условия, заявленные оператором, соответствуют документированным возможным условиям RCE. Живая проверка не проводилась.
mitigated_configuration	Затронутый пакет остаётся зафиксированным, при этом оператор сообщает об эффективной блокировке SVG или Node PIE. Это не исправленный и не безопасный результат.
fixed_version_reported	Выбранный компонент достигает проверенного порога исправления. Это не подтверждает развёрнутый бинарный файл или набор патчей.

Оценка версии выбранного компонента отделена от его измерений платформы, предусловий и смягчения. fixed_version_reported — это результат по заявленной версии: он не является ни проверенным развёрнутым патчем, ни гарантией безопасности, а potentially_affected не является подтверждённой эксплуатируемостью. Глобальный результат классифицирует независимо предоставленную нативную библиотеку, а не установленный пакет Sharp.

Отсутствие libc или PIE остаётся unknown в измерениях предусловий. Платформа, отличная от glibc, или заявленное отсутствие пути недоверенного ввода не устраняют лежащую в основе ошибку памяти. PIE устраняет документированное условие RCE; другие последствия повреждения памяти могут сохраняться.

Коды выхода

Операционные сбои (код выхода 2) отличаются от результатов оценки.