nodeSolidServer / nodeSolidServer/node-solid-server

Information exposure about contained resources

Abierto
#1,567 0 comentarios 1 reacción 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

performance security
Lenguaje dominante
JavaScript
Estrellas
1.8k
Forks
308
Métricas de merge de PR
Sin PR fusionados en 30 d

Descripción

Given resources:

/foo/
/foo/bar
/foo/baz

where Agent has:

  • Read access to /foo/
  • Read access to /foo/bar
  • No read access to /foo/baz

NSS responds to authorized GET requests to /foo/ which includes statements about /foo/baz (besides containment statements) eg:

<baz>
    html:Resource, ldp:Resource;
    terms:modified "2021-02-05T10:49:07Z"^^XML:dateTime;
    st:mtime 1612522147.974;
    st:size 12.

It'd be preferable to not expose types (besides indicating it is a container or a non-container eg. html:Resource), modified, mtime, size information about /foo/baz since agent is not granted read access to/foo/baz.

See proposed security consideration: https://github.com/solid/specification/pull/228

You may want to consider performance / response times if you follow-up on this change.

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Línea de trabajo

Comienza rastreando el manejo autorizado de GET para el contenedor /foo/ y la serialización de la respuesta que expone metadatos de los recursos contenidos. Verifica cómo se comprueba el acceso de lectura para /foo/baz y, después, asegúrate de que los recursos inaccesibles conserven únicamente la indicación permitida de contención y no expongan tipos, marcas de tiempo ni tamaño; comprueba el impacto en el tiempo de respuesta tal como se indica en el issue.

Escrito por el modelo de indexación a partir del texto del issue.

Evaluación

Stack tecnológico
javascript
Área
security
Tipo de issue
Error
Dificultad
4/5
Tiempo estimado
3-5 días
Estado de actividad
Estancado
Claridad
Bastante claro
Aptitud para principiantes
38/100

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.