The value of hashed-password can be used to open CodeServer directly, which has security problem

Abierto
#7,696 1 comentario 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
35/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Estancado
Stack tecnológico
typescript
Área
authentication, security

Línea de trabajo

Empieza rastreando cómo se lee la configuración de auth en ~/.config/code-server/config.yaml y cómo se valida la cookie code-server-session después de la página de inicio de sesión. Reproduce el comportamiento con el comando de code-server y la URL de jupyter_server_proxy indicados y, a continuación, verifica que el valor hashed-password no puede autenticar una sesión por sí mismo.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

bug security triage
Is there an existing issue for this?
  • I have searched the existing issues
OS/Web Information
  • Web Browser: Chrome 143.0.7499.170
  • Local OS: windows
  • Remote OS: ubuntu 22.04, jupyterlab service
  • Remote Architecture: x86
  • code-server --version: v4.108.0
Steps to Reproduce
  1. prepare "hashed-password" using command echo -n "xxx" | npx argon2-cli -e
  2. edit ~/.config/code-server/config.yaml，auth: password， hashed-password:"$argon2i$v=19$m=4096,t=3,p=1$xxx$xxx"
  3. start code-server using command code-server --port 7756
  4. using jupyter_server_proxy to visit code-server service, concatenate a URL as https://base_url/proxy/7756/
  5. when the code-server login page occurs, skip input the xxx into the password area. F12 edit the application cookie, set key=code-server-session, value="$argon2i$v=19$m=4096,t=3,p=1$xxx$xxx", refresh the browser
Expected

Failed to login into the code-server. The hashed-password in the config.yaml should not be the plain credentials

Actual

successfully login into the code-server

Lenguaje dominante
TypeScript
Estrellas
79.4k
Forks
6.9k
Merge medio
2 d 13 h
PR fusionados (30 d)
39

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de coder/code-server

Todos los issues de coder/code-server

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.