Практическая защитная проверка garminconnect по ghsa-wjhr-76vg-2hvc: применимость, обратимый тест границы «атомарное создание token store с минимальными файловыми разрешениями независимо от umask», измеримый результат и stop-rule без production-данных.
Применимость к garminconnect
До теста зафиксируйте provenance компонента: digest, способ установки, runtime-версию и активную ветвь конфигурации. Для границы «атомарное создание token store с минимальными файловыми разрешениями независимо от umask» запишите версию живого процесса, build digest, источник пакета, включённую функцию и субъект, который вызывает этот путь. Reviewed Advisory перечисляет границы «garminconnect <= 0.3.4; first patched 0.3.5», однако запись в manifest ещё не доказывает установленную версию и reachability. Если provenance неполон, оставьте статус unknown. Not-applicable допустим только при доказанной версии вне affected range или документированно выключенной функции. Не переносите severity из advisory на свою среду без этих двух доказательств.
Что подтверждает GHSA-wjhr-76vg-2hvc
GitHub Reviewed Advisory опубликована 2026-07-15, обновлена 2026-07-15 и описывает для garminconnect механизм: garminconnect Has Insecure Permission Assignment for Garmin OAuth Token Store. Подтверждённая package boundary: «garminconnect <= 0.3.4; first patched 0.3.5». Upstream-репозиторий https://github.com/cyberjunky/python-garminconnect связывает запись с исходным проектом, но сам по себе не сообщает состояние конкретного развёртывания. Даты, summary и диапазоны взяты с прямой advisory-страницы https://github.com/advisories/GHSA-wjhr-76vg-2hvc, а не из поискового сниппета. Эти источники не доказывают эксплуатацию, ущерб, популярность запроса, индексацию или позицию страницы.
Отдельная пользовательская боль и доказательство
Здесь проверяется ровно одна боль: другой локальный пользователь общего host может прочитать refresh token из файла с mode 0644. До любого запуска создайте артефакт «ledger umask / directory-mode / file-mode / owner / marker-readable-by-peer» и заранее определите допустимые значения каждой колонки. Normal-control должен пройти на той же сборке, с теми же лимитами и через тот же кодовый путь. Один status code, исключение или отсутствие записи не является доказательством: нужны expected result, observed result, конфигурационная ветвь и cleanup. Маркеры не должны содержать токены, IP, реальные имена, документы, логи или внутренние адреса.
Безопасный обратимый тест
Подготовьте временный каталог, dummy JSON token, две безопасные umask и проверка mode без настоящей учётной записи. Затем нужно создать token store штатным методом в двух temp directory и проверить stat, owner и отсутствие group/other read bits. Заранее заданный защитный исход: файл доступен только владельцу, каталог закрыт, а mode не становится шире при permissive umask. Выполняйте опыт только локально или в одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и количества запросов. Не используйте production secrets, пользовательские данные, внешние цели или инструкции, пригодные для вторжения. Все markers остаются синтетическими, поэтому результат можно передать поддержке без пользовательского содержимого. После проверки удалите fixtures, повторите normal-control и сравните итоговый digest с baseline.
Решение по наблюдаемым результатам
Passed фиксируется, когда одновременно выполнено: файл доступен только владельцу, каталог закрыт, а mode не становится шире при permissive umask; normal-control сохранил ожидаемое поведение; cleanup вернул исходное состояние. Failed требует повторяемого расхождения на том же fixture и той же версии. Unknown остаётся при нестабильном trace, неполном provenance или неясной конфигурации. Результат оформляют как «ledger umask / directory-mode / file-mode / owner / marker-readable-by-peer», чтобы другой инженер мог проверить вывод без догадок. Не расширяйте вывод с одной границы на всю систему и не обещайте абсолютную защищённость после одного опыта.
Стоп-правило, обновление и пакет поддержки
Критерий остановки задаётся до запуска: удалить dummy store и остановиться при любом group или other permission bit. Если runtime входит в affected range, получите обновление только из доверенного канала upstream https://github.com/cyberjunky/python-garminconnect, зафиксируйте новый digest и повторите тот же fixture с прежними лимитами. Новый сценарий не подтверждает исправление старого. В обезличенный пакет поддержки включите runtime version, package boundary, конфигурационную ветвь, expected/observed, resource limits, timestamps, error class и хэши fixtures. Исключите credentials, cookies, абсолютные пути, внутренние hostname и содержимое данных.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-wjhr-76vg-2hvc проверено 2026-08-31
- Upstream-репозиторий garminconnect проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.