Защитный разбор Hono API Gateway v1 adapter и ghsa-xgm2-5f3f-mvvc: применимость, обратимый тест «сохранение distinct repeated request header values при de-duplication в API Gateway v1 adapter», измеримый исход и stop-rule.
Определите применимость к Hono API Gateway v1 adapter
Сначала исследуется не severity, а граница «сохранение distinct repeated request header values при de-duplication в API Gateway v1 adapter». Запишите версию живого процесса, build digest, путь компонента, способ установки и включённую функцию. Advisory перечисляет «hono >= 4.3.3, < 4.12.27; first patched 4.12.27», но зависимость в manifest не равна доказанной runtime-версии. Отдельно установите reachability и субъекта, вызывающего путь. При неполном provenance оставьте статус unknown, а не переносите оценку advisory на ваше развёртывание.
Фактическая рамка GHSA-xgm2-5f3f-mvvc
Reviewed record опубликован 2026-07-21, обновлён 2026-07-21 и формулирует проблему как «Hono: API Gateway v1 adapter can drop a distinct repeated request header value during de-duplication». Package boundaries: «hono >= 4.3.3, < 4.12.27; first patched 4.12.27». Upstream https://github.com/honojs/hono подтверждает происхождение кода, но не состояние вашей установки. Даты, affected range и механизм берутся из прямой advisory-страницы. Ни record, ни форумный лид не доказывают атаку, ущерб, спрос, индексацию или позицию; для этого нужны другие измерения.
Отдельная боль: сохранение distinct repeated request header values при de-duplication в API Gateway v1 adapter
Узкая пользовательская боль: второе отличающееся значение может исчезнуть, меняя семантику принятого запроса и audit evidence. Чтобы не спутать её с ошибкой стенда, заранее задайте поля артефакта: матрица raw-values / normalized-values / distinct-count / handler-values / audit-digest. Normal-control обязателен: одиночный header value проходит adapter без изменения. Только после него запускают один граничный case. Marker не должен быть реальным credential, идентификатором или пользовательским содержимым. Так получается проверяемое дерево решения, а timeout, падение или неверная роль не выдаются за подтверждение механизма.
Безопасный обратимый опыт
Создайте чистый adapter fixture, два разных benign header values, одно точное повторение и handler snapshot. Затем нужно преобразовать event без HTTP listener и сравнить ordered multivalue representation перед handler. Все операции выполняются в локальной или одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и запросов. Ожидаемый защитный результат задан до запуска: два разных значения сохраняются, точный дубль обрабатывается документированно, foreign headers не появляются. Не используйте production secrets, настоящие документы, внутренние адреса, пользовательские логи или публичные цели. После опыта очистите fixture, повторите normal-control и сверьте baseline digest.
Правило решения без догадок
Решение хранится как матрица raw-values / normalized-values / distinct-count / handler-values / audit-digest. Passed возможен, когда одновременно наблюдается «два разных значения сохраняются, точный дубль обрабатывается документированно, foreign headers не появляются», normal-control успешен и cleanup возвращает baseline. Failed фиксируют лишь после воспроизводимого расхождения с тем же fixture и лимитами. Not-applicable требует доказанной runtime-версии вне range либо документированно выключенного пути. Unknown остаётся при неполном provenance, нестабильном trace или неоднозначной конфигурации. Одного status code, падения или отсутствия события недостаточно для окончательного вывода.
Остановка, обновление и пакет поддержки
Stop-rule: прекратить при потере одного distinct marker. Если runtime входит в affected range, обновление получают из доверенного канала https://github.com/honojs/hono, после чего повторяют тот же fixture с прежними лимитами; новый сценарий не подтверждает исправление старого. В обезличенный пакет включают runtime version, digest, конфигурационную ветвь, expected/observed, лимиты, timestamps, error class и хэши fixtures. Исключите токены, cookies, IP, внутренние имена, абсолютные пути и содержимое данных. Инструкция не обещает абсолютную защищённость.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-xgm2-5f3f-mvvc проверено 2026-08-31
- Upstream-репозиторий honojs/hono проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.