К обсуждениям

MobSF assetlinks: разрешённые scheme и port

Редакция VOne Технологии

Защитная диагностика MobSF assetlinks_check по ghsa-95px-34x5-p37h: применимость, обратимый локальный control, измеримый verdict, stop-rule и пакет данных для владельца системы.

Короткий ответ — MobSF assetlinks: разрешённые scheme и port

Задача страницы — проверить без сети, что MobSF assetlinks_check канонизирует scheme/host/port и блокирует нестандартный port до connect. Advisory ghsa-95px-34x5-p37h служит свежим inventory-сигналом, но не доказывает состояние конкретной установки. Зафиксируйте фактически загруженный MobSF assetlinks_check, lock-файл или image digest и границу «mobsf: introduced 0, fixed 4.5.1». Пользовательская боль здесь одна: разрешённый host с необычным port может направить server-side request к нежелательной службе. Итогом должен стать артефакт «raw URL / canonical port / resolved set / policy reason / connect calls», чтобы другой инженер повторил решение без production-данных, внешнего воздействия и догадок.

Граница применимости для MobSF assetlinks_check

Разберите путь решения как «input URL → canonical scheme/host/port → address policy → connect spy». Для каждого перехода укажите владельца значения, тип входа, допустимое состояние и запрещённый side effect. Проверяемая инварианта: разрешаются только заявленные scheme и port после normalization; implicit и explicit default дают один verdict. NOT_APPLICABLE возможен только при доказанном отсутствии компонента или недостижимости указанной ветки; неизвестный digest, effective config или способ вызова дают UNKNOWN. Номер исправленного релиза без runtime readback не превращает результат в PASS.

Почему проверки версии недостаточно

Lock-файл, SBOM, container digest и package manager отвечают на разные вопросы. Сведите их в одну строку provenance и сопоставьте с advisory-границей «mobsf: introduced 0, fixed 4.5.1». Затем докажите effective путь «input URL → canonical scheme/host/port → address policy → connect spy»: vendored копия, optional dependency, отдельный worker или отключённый adapter могут изменить применимость. Фиксируйте AFFECTED_PATH, PATCHED_PATH, COMPONENT_ABSENT либо PROVENANCE_UNKNOWN. Отсутствие инцидента и успешный health-check не подтверждают инварианту «разрешаются только заявленные scheme и port после normalization; implicit и explicit default дают один verdict».

Безопасный обратимый локальный control

Работайте только в disposable fixture: прогнать URL-таблицу через stub resolver и connect spy без DNS/HTTP. Сеть, subprocess, production database, реальные bucket, очереди, почту, токены и пользовательские файлы замените fake, spy или in-memory адаптерами. До запуска сохраните baseline hash, нулевые counters, лимит времени, памяти и числа операций. Используйте короткие синтетические маркеры без эксплуатационного payload. После каждой строки восстанавливайте fixture и убеждайтесь, что benign control начинается с того же baseline.

Матрица наблюдений

Сначала benign control доказывает достижение целевой функции. Затем boundary-case меняет ровно один признак, связанный с болью «разрешённый host с необычным port может направить server-side request к нежелательной службе». Записывайте «raw URL / canonical port / resolved set / policy reason / connect calls», reason code, duration, counters до и после и digest fixture. Основная инварианта остаётся: разрешаются только заявленные scheme и port после normalization; implicit и explicit default дают один verdict. Если control не достигает ветки, recorder пропустил side effect или точка наблюдения двусмысленна, ставьте UNKNOWN. Нельзя усиливать вход ради определённого ответа: безопасная воспроизводимость важнее красивого PASS.

PASS, FAIL, UNKNOWN и критерий остановки

PASS требует подтверждённого provenance, успешного benign control, соблюдения инварианты «разрешаются только заявленные scheme и port после normalization; implicit и explicit default дают один verdict», нулевых запрещённых side effects и cleanup proof. FAIL — тот же подтверждённый путь плюс наблюдаемое нарушение policy. UNKNOWN означает отсутствие digest, effective config, recorder или возможности восстановить fixture. Немедленная красная линия: нестандартный port получил allow или connect был вызван для deny-row. При ней прекратите тест, сохраните только минимальные метаданные и не повторяйте boundary-case на большем масштабе.

Восстановление и regression check

Удалите disposable state, верните adapters к baseline и сравните hashes, counters, память и открытые ресурсы. Неожиданный I/O, сетевой вызов, process, новая строка БД или оставшийся файл блокирует PASS. После обновления повторите тот же fixture без изменения входов и лимитов; сравните «raw URL / canonical port / resolved set / policy reason / connect calls». Так видно, изменился ли защищаемый переход «input URL → canonical scheme/host/port → address policy → connect spy», а не окружение, объём данных или наблюдатель.

Почему intent самостоятельный и что передать владельцу

Самостоятельная ценность — port normalization и policy parity implicit/explicit default. Поэтому материал отвечает на самостоятельный запрос «проверить без сети, что MobSF assetlinks_check канонизирует scheme/host/port и блокирует нестандартный port до connect» и не является механической заменой бренда, ОС или устройства. Передайте владельцу ghsa-95px-34x5-p37h, component digest, effective version/config, границу «mobsf: introduced 0, fixed 4.5.1», схему «input URL → canonical scheme/host/port → address policy → connect spy», control/boundary rows, артефакт «raw URL / canonical port / resolved set / policy reason / connect calls», verdict, stop reason и cleanup proof. Advisory опубликована 2026-08-18 и обновлена 2026-08-18; даты подтверждают свежесть источника, но не популярность запроса, факт эксплуатации или применимость к конкретному deployment.

Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.