Защитная проверка github.com/axllent/mailpit по GHSA-r553-m4fv-5v97: версия, обратимый fixture, PASS/FAIL/Unknown, stop-rule и обезличенный пакет доказательств.
Что проверить для github.com/axllent/mailpit
Сначала зафиксируйте наблюдаемую границу, а не пытайтесь воспроизвести атаку. Оператор тестовой почты не знает, применяется ли ограничение строки до роста памяти. Короткий ответ: подтвердите фактический комплект и границу «go/github.com/axllent/mailpit >= 1.30.0, < 1.30.5 → 1.30.5», затем исполните только обратимую проверку: в изолированном Mailpit постепенно увеличить безвредную строку DATA и измерить память и ответ следующей сессии. Не используйте production, чужие данные или вредоносные payload. GitHub Advisory Database указывает severity medium и обновление 2026-08-20; это приоритет для инвентаризации, а не доказательство атаки или массового спроса. Запишите digest сборки, resolved dependency и состояние затронутой функции. Если комплект транзитивный, имя образа или процесса не заменяет lock-файл, SBOM либо provenance артефакта.
Как определить применимость версии
Зафиксированная advisory-boundary: go/github.com/axllent/mailpit >= 1.30.0, < 1.30.5 → 1.30.5. Сопоставляйте её с реально загруженной библиотекой, а не только с manifest исходников. Разделите исход на `not_present`, `outside_range`, `affected_candidate`, `patched_or_backported` и `unknown`. Для fork зарегистрируйте upstream commit и описание backport. Для категории `resource` отдельно отметьте, достигается ли соответствующий путь из доверенной зоны. Если branch или package не удаётся однозначно сопоставить, остановитесь на Unknown и не подменяйте факт общим советом «обновить всё».
Обратимый тест без опасного воспроизведения
Рекомендуемый fixture: в изолированном Mailpit постепенно увеличить безвредную строку DATA и измерить память и ответ следующей сессии. До запуска подготовьте пустой временный контекст, ограничьте время и ресурсы, отключите внешнюю сеть и зафиксируйте expected result. Сначала исполните benign positive control, который доказывает работоспособность функции. Затем один отрицательный случай, проверяющий только заявленную границу. Не переносите в fixture токены, персональные данные, реальные пути, production-конфигурацию или опубликованные proof-of-concept. После теста удалите временные сущности и подтвердите отсутствие изменения исходного состояния.
Критерии PASS, FAIL и Unknown
Практический артефакт: граф размер строки–RSS–время отказа–готовность нового соединения. PASS означает, что разрешённый control работает, а пограничный случай отклонён до нежелательного состояния. FAIL фиксируется только при работающем control и наблюдаемом нарушении заявленной границы. Unknown обязателен, если dependency не доказана, test harness не достиг нужного пути, результат нельзя прочитать обратно или ограничитель сам оборвал проверку. Для `resource` дополнительно зафиксируйте время, память, нормализованный путь, субъект доступа либо контекст вывода — только те атрибуты, которые относятся к механизму.
План обновления и stop-rule
Если сборка попадает в затронутый диапазон, используйте поддерживаемую исправленную ветку из primary source и повторите тот же fixture до и после изменения. Не меняйте одновременно dependency, proxy, права и формат данных: иначе результат потеряет причинность. Stop-rule: немедленно завершите тест при росте ресурсов вне лимита, неожиданном сетевом обращении, записи за пределами временного каталога, попытке затронуть чужой объект или появлении реальных секретов. WAF, отсутствие жалоб и статус active не равны исправлению GHSA-r553-m4fv-5v97.
Что приложить к запросу поддержки
Сохраните GHSA-r553-m4fv-5v97, package name, resolved version, artifact digest, ветку и commit, feature state, hash синтетического fixture, наблюдения control и negative case, а также итог PASS/FAIL/Unknown. Приложите ссылки на GitHub Advisory Database и primary upstream source, но не вставляйте большие фрагменты чужого текста. Отдельная боль: оператор тестовой почты не знает, применяется ли ограничение строки до роста памяти. Результат — граф размер строки–RSS–время отказа–готовность нового соединения. Механизм GHSA-r553-m4fv-5v97 (Mailpit: SMTP DATA line reader buffers over-limit input before size enforcement) не совпадает с соседними intent и требует собственного набора наблюдений. Такой комплект позволяет maintainer повторить решение без доступа к production. Если advisory, локальная сборка и regression test расходятся, перечислите расхождение как Unknown вместо предположения о безопасности.
Контрольная карточка GHSA-r553-m4fv-5v97 для resource
Карточка именно этого решения связывает вопрос «оператор тестовой почты не знает, применяется ли ограничение строки до роста памяти» с проверкой «в изолированном Mailpit постепенно увеличить безвредную строку DATA и измерить память и ответ следующей сессии». В первой строке укажите github.com/axllent/mailpit, затем границу go/github.com/axllent/mailpit >= 1.30.0, < 1.30.5 → 1.30.5. Во второй строке зарегистрируйте исходный сигнал: Mailpit: SMTP DATA line reader buffers over-limit input before size enforcement. Третья строка — ожидаемый практический результат «граф размер строки–RSS–время отказа–готовность нового соединения». Для этого механизма не подходят доказательства соседних страниц: название продукта, общий статус службы, один HTTP 200, отсутствие жалоб или скриншот интерфейса не отвечают на заявленный вопрос. Отдельно зафиксируйте, какой benign control подтверждает достижимость пути, какое наблюдение считается отказом до побочного эффекта и при каком условии решение становится Unknown. Пакет не должен содержать токены, реальные имена, адреса узлов, содержимое документов, дампы памяти или полный production-log. Финальная подпись включает дату 2026-08-31, GHSA-r553-m4fv-5v97, digest сборки и ссылку на upstream. Так другой специалист проверит категорию resource по тем же полям, не повторяя опасный сценарий и не получая доступ к данным пользователя.
Минимальный record для повторной проверки mailpit-smtp-data-line-memory-budget
Оператор тестовой почты не знает, применяется ли ограничение строки до роста памяти. Рабочее действие для этой карточки: в изолированном Mailpit постепенно увеличить безвредную строку DATA и измерить память и ответ следующей сессии. Ожидаемый артефакт: граф размер строки–RSS–время отказа–готовность нового соединения. Upstream формулировка механизма: Mailpit: SMTP DATA line reader buffers over-limit input before size enforcement. Компонентная граница: go/github.com/axllent/mailpit >= 1.30.0, < 1.30.5 → 1.30.5. Для resource-boundary фиксируют baseline RSS, peak RSS, CPU-time, wall-clock deadline, число принятых единиц и успешность следующей чистой операции. Проверка считается воспроизводимой только при одинаковом лимите процесса и холодном старте. Нельзя увеличивать вход без верхней границы: заранее задайте максимум, локальный watchdog и аварийное завершение. Цепочка наблюдения «mailpit → smtp → data → line → memory → budget» задаёт названия колонок и порядок read-back. Машиночитаемые ключи record: mailpit-smtp-data-line-memory-budget-baseline, mailpit-smtp-data-line-memory-budget-inventory, mailpit-smtp-data-line-memory-budget-control, mailpit-smtp-data-line-memory-budget-boundary, mailpit-smtp-data-line-memory-budget-fixture, mailpit-smtp-data-line-memory-budget-deadline, mailpit-smtp-data-line-memory-budget-readback, mailpit-smtp-data-line-memory-budget-sideeffects, mailpit-smtp-data-line-memory-budget-verdict, mailpit-smtp-data-line-memory-budget-provenance, mailpit-smtp-data-line-memory-budget-rollback, mailpit-smtp-data-line-memory-budget-timestamp, mailpit-smtp-data-line-memory-budget-owner, mailpit-smtp-data-line-memory-budget-digest, mailpit-smtp-data-line-memory-budget-unknownreason. После обновления повторяется тот же fixture, поэтому изменение github.com/axllent/mailpit можно отделить от изменения окружения. Для GHSA-r553-m4fv-5v97 verdict остаётся Unknown при пропущенном control, несовпадающей ветке либо недоступном read-back.
Материал подготовлен редакцией VOne с помощью ИИ; версии, источники, безопасный fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-r553-m4fv-5v97 проверено 2026-08-31
- Primary upstream source for github.com/axllent/mailpit проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.