Защитная диагностика Cloudreve share по GHSA-vx2m-jpxr-xv7w: version inventory, обратимый fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.
Короткий ответ: какая граница важна в Cloudreve share
Проверять нужно не продукт целиком, а конкретный инвариант: ревокация должна инвалидировать все производные authorization contexts до следующей генерации signed URL. Пользовательская боль здесь одна — отозванная share-ссылка может продолжить выпускать подписанный URL из закэшированного context_hint. Запись GHSA-vx2m-jpxr-xv7w задаёт инвентарную отсечку «github.com/cloudreve/Cloudreve/v4: <= 4.0.0-20260606032813-26b6b1044b02; фиксированная release-граница отдельно не указана», но номер версии не является диагнозом. Наличие пакета означает только candidate: ещё нужно доказать runtime artifact, включённую функцию и достижимый путь. Отсутствие жалоб, зелёный health и название образа ничего не говорят об этой границе. Практический ответ строится вокруг отдельного наблюдения «share state | cache state | signed URL issued | object read | verdict» и прекращается по условию «после revoke выдан новый URL, изменён реальный объект или тест использовал пользовательскую ссылку». Это сохраняет тему узкой и не превращает её в повтор общего security-чеклиста.
Проверьте применимость до эксперимента
Найдите github.com/cloudreve/Cloudreve/v4 в resolved lock, SBOM или фактически загруженном binary и свяжите результат с digest либо revision. Сопоставьте его с «github.com/cloudreve/Cloudreve/v4: <= 4.0.0-20260606032813-26b6b1044b02; фиксированная release-граница отдельно не указана». Получаются четыре честных исхода: absent — компонента в runtime нет; out_of_range — доказанная версия не входит в указанную область; candidate — область совпала и функция доступна; unknown — provenance или reachability не подтверждены. Для backport отдельно приложите commit и regression test. Не повышайте unknown до pass по дате сборки, vendor banner или одному ответу HTTP.
Безопасное наблюдение для GHSA-vx2m-jpxr-xv7w
Используйте только обратимый сценарий: в disposable storage создаётся пустой объект и share, выполняется control URL, затем share отзывается и повторяется только запрос генерации без скачивания содержимого. Сначала выполните штатный control, иначе отказ boundary-case может означать сломанный стенд. Работайте в disposable-процессе или namespace без production snapshot, учётных данных, персональных объектов и открытого egress. До старта зафиксируйте разрешённые файлы, network scope, timeout, CPU/RSS budget и способ cleanup. После шага прочитайте состояние обратно и сравните только синтетические маркеры. Не переносите из advisory exploit-код, реальные идентификаторы или опасную нагрузку.
Матрица результата и критерий остановки
Рабочая строка этой статьи: share state | cache state | signed URL issued | object read | verdict. PASS допустим, когда control достигает целевой функции, boundary-case управляемо отклонён, а readback и side-effect diff чисты. FAIL фиксируется только при работающем control и прямом нарушении инварианта «ревокация должна инвалидировать все производные authorization contexts до следующей генерации signed URL». UNKNOWN обязателен при неизвестной сборке, неполной телеметрии, раннем limiter, неоднозначном состоянии или невозможности безопасно воспроизвести ветку. Stop-condition задаётся заранее: после revoke выдан новый URL, изменён реальный объект или тест использовал пользовательскую ссылку. После него тест не расширяют и не пытаются добиться результата большей нагрузкой.
Как доказать исправление без лишних изменений
Для candidate или FAIL сверьте remediation на upstream-странице GHSA-vx2m-jpxr-xv7w и используйте поддерживаемую версию либо документированный backport; inventory-ориентир остаётся «github.com/cloudreve/Cloudreve/v4: <= 4.0.0-20260606032813-26b6b1044b02; фиксированная release-граница отдельно не указана». Если patched release не названа, не выдумывайте её: временно изолируйте функцию и согласуйте отдельную миграцию. На том же fixture сохраните pre/post artifact digest, повторите control и boundary-case, затем сравните матрицу «share state | cache state | signed URL issued | object read | verdict». Canary допустим только после чистого cleanup и отдельного rollback. Не меняйте одновременно proxy, права, storage или формат данных — иначе причина результата потеряется.
Минимальный handoff владельцу Cloudreve share
Передайте GHSA-vx2m-jpxr-xv7w, resolved package, границу «github.com/cloudreve/Cloudreve/v4: <= 4.0.0-20260606032813-26b6b1044b02; фиксированная release-граница отдельно не указана», artifact digest, feature state, hash fixture, budgets, одну заполненную строку «share state | cache state | signed URL issued | object read | verdict», verdict PASS/FAIL/UNKNOWN и причину unknown. Ссылки на GitHub Advisory Database и upstream источник нужны для повторной проверки, но длинные фрагменты не копируются. Укажите, что вывод относится только к боли «отозванная share-ссылка может продолжить выпускать подписанный URL из закэшированного context_hint». Удалите hostnames, IP, usernames, cookies, tokens, конфиги и содержимое пользовательских объектов. Для независимого журнала достаточно полей `cloudreve-revoked-share-cache-invalidation-check-artifact`, `cloudreve-revoked-share-cache-invalidation-check-control`, `cloudreve-revoked-share-cache-invalidation-check-boundary`, `cloudreve-revoked-share-cache-invalidation-check-readback`, `cloudreve-revoked-share-cache-invalidation-check-sideeffects`, `cloudreve-revoked-share-cache-invalidation-check-stop`, `cloudreve-revoked-share-cache-invalidation-check-verdict`, `cloudreve-revoked-share-cache-invalidation-check-cleanup`; значения секретов в них запрещены.
Материал подготовлен редакцией VOne с помощью ИИ; даты, версии, первичные источники, обратимый fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-vx2m-jpxr-xv7w проверено 2026-09-01
- Primary upstream source for Cloudreve share проверено 2026-09-01
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.