Практическая защитная инструкция по Grav и ghsa-vwg3-w8w3-pc79: как подтвердить исправленную версию 2.0.4, провести ограниченный обратимый тест, распознать корректный исход и передать владельцу минимум данных без активного exploit payload.
Применимость Grav и версионная граница
Сначала отделяют наличие dependency от работы затронутого пути. Для Grav запись ghsa-vwg3-w8w3-pc79 описывает механизм: правила .htaccess блокировали чувствительные расширения с учётом регистра и могли быть обойдены вариантом регистра на case-insensitive filesystem. В advisory перечислены диапазоны «getgrav/grav: < 2.0.4» и first patched version «2.0.4». Сначала ищут именно этот package в SBOM, lockfile, image или установленном runtime, после чего подтверждают, что процесс загрузил ожидаемый artifact. Отсутствующий компонент даёт not-applicable; найденный, но неактивный путь — affected-unverified; новый manifest при старом процессе — patched-unverified. Backport оценивают по changelog и фактическому patch, а не по строковому сравнению. Дата review 2026-08-19 объясняет своевременность проверки, не частоту атак и не состояние системы читателя.
Baseline перед изменением Grav
До изменения записывают только данные, влияющие на решение: версия Grav, digest webserver-configs/htaccess.txt, тип filesystem, активный Apache config, пустой user fixture и access log. Каждое поле получает значение fact, not-applicable или unknown; пустота не означает безопасность. Рядом сохраняют digest артефакта, health до теста, владельца остановки, resource budget и план возврата. Если baseline уже красный, обновление не смешивают с прежним инцидентом. Секреты, cookies, tokens, реальные сетевые адреса, содержимое сообщений и абсолютные домашние пути не копируют. Такой снимок помогает различить неактивную dependency, смешанные версии, неверную конфигурацию и регрессию именно в границе Grav.
Ограниченный тест для Grav
Безопасный контроль состоит из пары A/B и повторного A2: в локальном document root создать два безличных marker-файла test.yaml и test.JSON, запросить их обычным и изменённым регистром. Перед действием фиксируют штатный A, безопасный отрицательный B и повторный штатный A2. Между ними не меняют одновременно dependency, permissions, network и storage. Marker синтетический, не содержит действующего exploit-кода и не обращается к чужим системам. Ожидаемый исход записан заранее: все варианты получают одинаковый deny status, marker body не возвращается, access log не раскрывает физический путь, публичная test.txt остаётся доступной. Общий timeout, crash, HTTP 500, потеря readiness или необъяснимый побочный объект не считаются доказательством исправления. В этих случаях ставят failed-safe-check либо unknown, выполняют cleanup и возвращаются к A2.
Критерий решения по ghsa-vwg3-w8w3-pc79
Статус passed появляется только при измеримом ожидаемом исходе. Для этой страницы проверяемое условие звучит так: все варианты получают одинаковый deny status, marker body не возвращается, access log не раскрывает физический путь, публичная test.txt остаётся доступной. В строке результата хранят artifact digest, применимость функции, исход A/B/A2, health после очистки и доказательство версии. Контролируемый отказ обязан иметь validation, authorization, bounds, resource-limit или policy class, соответствующий механизму advisory. Пустой ответ, неизвестное исключение, изменение соседнего объекта или ручная правка оставляют fail. При mixed versions матрицу делят по процессам; усреднение скрывает риск. Статус passed-bounded-check подтверждает только ghsa-vwg3-w8w3-pc79 в указанной конфигурации и момент проверки, а не общую безопасность Grav.
Стоп-линия и восстановление Grav
Проверка прекращается, если перестаёт быть локальной и обратимой. Конкретный запрет здесь: проверка требует настоящий config, vendor file, production document root или перечисление существующих имён. При первом совпадении input, права и нагрузку не расширяют. Запланированное восстановление: удалить fixture directory, вернуть временный VirtualHost и повторно проверить document root digest. Оно завершено только после повторного baseline, нулевого diff вне стендового объекта и закрытия временных sessions, listeners, handles или subprocess. Если cleanup невозможно доказать, итог остаётся failed-safe-check. Такая дисциплина не допускает превращения защитной диагностики в воспроизведение атаки и сохраняет production вне эксперимента.
Минимальный пакет владельцу Grav
В итоговую карточку попадают только обезличенные технические признаки. Для Grav достаточно: версия Grav, filesystem class, htaccess digest, четыре status code, отсутствие marker body, path-disclosure flag и cleanup. Добавляют время, ожидаемый и фактический исход, две прямые ссылки ниже и ответственного за cleanup. Полный advisory, персональные сведения, credentials, рабочие payload, дампы памяти и подробности чужой инфраструктуры не пересылают. Финальный словарь ограничен статусами not-applicable, update-required, patched-unverified, passed-bounded-check, failed-safe-check и unknown. При расхождении источника, package manager и runtime выбирают unknown и передают вопрос владельцу. Материал не обещает отсутствие других дефектов, индексацию страницы или рост поисковых позиций.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, даты, версии и ссылки перепроверены. Реальные пользовательские данные, активные опасные payload и вымышленные результаты тестов не использовались.
Источники и проверка
- GitHub Advisory Database ghsa-vwg3-w8w3-pc79 по Grav проверено 2026-08-30
- Релиз Grav 2.0.4 проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.