nodeSolidServer / nodeSolidServer/node-solid-server

Information exposure about contained resources

Offen
#1,567 0 Kommentare 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

performance security
Vorherrschende Sprache
JavaScript
Sterne
1.8k
Forks
308
PR-Merge-Kennzahlen
Keine gemergten PRs in 30 T.

Beschreibung

Given resources:

/foo/
/foo/bar
/foo/baz

where Agent has:

  • Read access to /foo/
  • Read access to /foo/bar
  • No read access to /foo/baz

NSS responds to authorized GET requests to /foo/ which includes statements about /foo/baz (besides containment statements) eg:

<baz>
    html:Resource, ldp:Resource;
    terms:modified "2021-02-05T10:49:07Z"^^XML:dateTime;
    st:mtime 1612522147.974;
    st:size 12.

It'd be preferable to not expose types (besides indicating it is a container or a non-container eg. html:Resource), modified, mtime, size information about /foo/baz since agent is not granted read access to/foo/baz.

See proposed security consideration: https://github.com/solid/specification/pull/228

You may want to consider performance / response times if you follow-up on this change.

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

  1. Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
  3. Forke das Repository und arbeite in einem Branch.
  4. Öffne einen Pull Request, der die Issue-Nummer nennt.

Rechercherichtung

Beginne damit, die autorisierte GET-Verarbeitung für den Container /foo/ und die Antwortserialisierung nachzuverfolgen, die Metadaten für enthaltene Ressourcen offenlegt. Überprüfe, wie der Lesezugriff für /foo/baz geprüft wird, und stelle dann sicher, dass nicht zugängliche Ressourcen nur die zulässige Angabe zur enthaltenen Struktur behalten und keine Typen, Zeitstempel oder Größe offenlegen; prüfe die Auswirkungen auf die Antwortzeit wie im Issue vermerkt.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Bewertung

Tech-Stack
javascript
Bereich
security
Issue-Typ
Bug
Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Aktivitätsstatus
Veraltet
Klarheit
Größtenteils klar
Anfängerfreundlichkeit
38/100

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.