Защитная диагностика Gorilla WebSocket по GHSA-w67g-5rqw-f597: version inventory, обратимый fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.
Что именно проверяет карточка Gorilla WebSocket
Здесь не проводится общий аудит продукта и не пересказывается чужая публикация. Проверяется одна граница: клиентские mask keys могут формироваться недостаточно стойким генератором. Advisory GHSA-w67g-5rqw-f597 формулирует upstream-сигнал как «Gorilla WebSocket Uses Cryptographically Weak PRNG for WebSocket Mask Key» и задаёт version inventory «github.com/gorilla/websocket: < 1.5.3; первая исправленная версия: 1.5.3». Само совпадение версии означает только affected_candidate. Оно не подтверждает достижимость пути, наличие инцидента или ущерба. Для not_present нужен runtime/SBOM, для outside_range — resolved dependency, для patched_or_backported — release либо commit и повторяемый regression result. Если связать работающий artifact с revision нельзя, честный ответ — Unknown. Уникальная модель наблюдения для этой карточки связывает гарантию «каждый WebSocket client frame должен получать четыре байта от криптографически безопасного источника без повторяемого seed» с действием «локальный capture server принимает серию маленьких frames от двух свежих процессов; анализируются только mask keys и стартовые условия». Она считается полной только вместе с колонками «process | frame index | mask key duplicate | RNG source evidence | verdict» и отдельным аварийным условием «в payload попали пользовательские данные, тест вышел за loopback или ключевая последовательность повторяется при одинаковом seed». Эти пять элементов образуют самостоятельную проверку именно Gorilla WebSocket, а не заменяемый шаблон для соседнего продукта.
Дерево решения по версии и функции Gorilla WebSocket
Соберите package manager, lock-файл, digest образа или бинарника, feature flag и фактическую точку вызова. Сначала установите, присутствует ли github.com/gorilla/websocket в runtime, а не только в исходном manifest. Затем сравните доказанную версию с границей «github.com/gorilla/websocket: < 1.5.3; первая исправленная версия: 1.5.3». Ветка not_present завершает проверку без запуска fixture; outside_range требует сохранённого вывода inventory; affected_candidate переходит к изолированному тесту; patched_or_backported требует ссылки на исправление и его test evidence. Не подменяйте эти состояния одним HTTP 200, названием контейнера, датой сборки или отсутствием жалоб.
Обратимый fixture для механизма GHSA-w67g-5rqw-f597
Целевая гарантия сформулирована так: каждый WebSocket client frame должен получать четыре байта от криптографически безопасного источника без повторяемого seed. Проверка: локальный capture server принимает серию маленьких frames от двух свежих процессов; анализируются только mask keys и стартовые условия. Среда должна быть одноразовой, без production snapshot, персональных данных, токенов и открытого исходящего доступа. До boundary-case выполните benign control, чтобы доказать достижимость нужной ветки. Заранее установите таймаут, лимит CPU/RSS, разрешённое дерево temp и сетевой allowlist loopback. После каждого шага прочитайте состояние обратно и удалите созданные объекты. Не используйте опубликованные exploit payload или реальные идентификаторы.
Как заполнить таблицу «process | frame index | mask key duplicate | RNG source evidence | verdict»
Записывайте по одной строке на benign control и boundary-case: process | frame index | mask key duplicate | RNG source evidence | verdict. PASS означает, что control дошёл до нужной функции, граничный случай был управляемо отклонён, состояние и side effects не изменились. FAIL допустим только при работающем control и наблюдаемом нарушении заявленной гарантии. Unknown обязателен при недоказанной версии, недостижимой ветке, неполной телеметрии, раннем срабатывании limiter или неоднозначном readback. Такая матрица отделяет наблюдение от догадки и позволяет другому инженеру повторить проверку без доступа к исходной среде.
Исправление и безопасная последовательность rollout
Если получен affected_candidate или воспроизводимый FAIL, выберите поддерживаемую upstream-ветку с исправлением; ориентир inventory: github.com/gorilla/websocket: < 1.5.3; первая исправленная версия: 1.5.3. Сначала сохраните lock/digest и fixture, затем измените только компонент, повторите benign и boundary cases, проверьте readback и лишь потом переходите к canary. Не смешивайте обновление с заменой proxy, прав, storage и формата данных: это разрушает причинность. Защитный фильтр может быть временной мерой, но не заменяет исправление. Stop-rule этого материала: в payload попали пользовательские данные, тест вышел за loopback или ключевая последовательность повторяется при одинаковом seed. При его срабатывании тест немедленно прекращается, артефакты изолируются, production не меняется.
Пакет доказательств для владельца Gorilla WebSocket
В handoff включите GHSA-w67g-5rqw-f597, границу «github.com/gorilla/websocket: < 1.5.3; первая исправленная версия: 1.5.3», artifact digest, source revision, feature state, hash fixture, лимиты, результаты control и boundary-case, одну строку из таблицы «process | frame index | mask key duplicate | RNG source evidence | verdict», итог PASS/FAIL/Unknown и точную причину Unknown. Добавьте ссылки на GitHub Advisory Database и upstream advisory/fix, но не копируйте длинные фрагменты. Отдельной строкой укажите, что проверялась боль «клиентские mask keys могут формироваться недостаточно стойким генератором», а не весь продукт. Уберите hostname, IP, usernames, cookies, tokens, конфиги и содержимое пользовательских объектов. Так evidence остаётся минимальным, проверяемым и пригодным для повторного решения. Для машиночитаемого журнала используйте независимые ключи `gorilla-websocket-mask-key-rng-check-inventory-proof`, `gorilla-websocket-mask-key-rng-check-benign-control`, `gorilla-websocket-mask-key-rng-check-boundary-observation`, `gorilla-websocket-mask-key-rng-check-state-readback`, `gorilla-websocket-mask-key-rng-check-sideeffect-diff`, `gorilla-websocket-mask-key-rng-check-stop-trigger`, `gorilla-websocket-mask-key-rng-check-final-verdict` и `gorilla-websocket-mask-key-rng-check-cleanup-proof`. Они не должны содержать значения секретов; это только имена полей, позволяющие не спутать доказательства этой проверки с соседними карточками.
Материал подготовлен редакцией VOne с помощью ИИ; даты, версии, первичные источники, обратимый fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-w67g-5rqw-f597 проверено 2026-09-01
- Primary upstream source for Gorilla WebSocket проверено 2026-09-01
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.