Как безопасно проверить Netty: IPv6 subnet rule сравнивает через mask: точная версия, reachability, обратимый fixture, измеримые PASS/FAIL/Unknown и stop-rule без production-данных.
Граница проблемы: Netty: IPv6 subnet rule сравнивает через mask
Самостоятельная пользовательская боль: публичный IPv6 адрес проходит deny/allow rule из-за AND с networkAddress вместо subnetMask. Защитное правило для проверки сформулировано заранее: «как безопасно проверить что membership вычисляется как incoming and mask network and mask для всех 128 бит и prefix lengths в netty ipsubnetfilterrule ipv6 без production данных». GitHub Reviewed Advisory ghsa-3qp7-7mw8-wx86 описывает: «Netty has an IPv6 Subnet Filter Bypass via Incorrect Comparator Masking»; запись опубликована 2026-06-08 и обновлена 2026-06-12. Эти сведения подтверждают технический сигнал и upstream-контекст, но не доказывают наличие затронутой версии, достижимость пути, эксплуатацию конкретной системы или популярность запроса. Поэтому итог по локальной среде начинается как Unknown и меняется только после inventory, reachability и изолированного теста.
Сверьте версии и достижимость для netty-ipv6-subnet-mask-comparator
Сначала отделите наличие пакета от достижимости затронутого пути. Boundary из reviewed record и прямого upstream-источника: «maven/io.netty:netty-handler >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-handler <= 4.1.134.Final; first patched 4.1.135.Final». Разнесите состояния в таблице: компонента нет; версия вне диапазона; исправление backported; функция выключена; путь недостижим; provenance неясен; нужен fixture. Рабочий набор полей именно для этой темы: rule action, prefix, address class, masked input, masked network, decision. Banner, lockfile без resolved tree или совпадение имени пакета не являются доказательством. Если схема версий форка не сопоставима с upstream, оставьте Unknown и запросите build provenance вместо категоричного PASS.
Обратимый тест без production-данных: rule action
Безопасный fixture: table-driven pure unit test использует документационные IPv6 ranges, boundary addresses и prefixes /0,/64,/127,/128. До запуска запишите expected invariant, лимиты времени и памяти, допустимые side effects и способ полной очистки. Добавьте положительный control для штатного пути и отрицательный case, который меняет только одну проверяемую границу. Используйте фиктивные identifiers и временное состояние; токены, реальные адреса, пользовательские данные, рабочие конфиги и внешние цели исключены. После каждого case удалите temp-state и повторите малый control: он подтверждает, что отказ относится к механизму, а не к сломанному harness.
Зафиксируйте доказательство по полям decision
Артефакт проверки хранит только минимизированные поля: rule action, prefix, address class, masked input, masked network, decision. Для каждого поля отметьте источник: configuration, измерение, parser output или решение policy. Критерий PASS определён до запуска: каждая boundary pair даёт математически ожидаемое решение, порядок rules не скрывает ошибку. FAIL допустим только если запрещённый эффект наблюдается в изоляции, boundary и runtime-mode совпали, а оба controls дают ожидаемый результат. Во всех остальных случаях ставьте Unknown или Inconclusive. Не прикладывайте сырые логи: достаточно hash fixture, версии, обезличенной матрицы, результата controls и времени проверки.
Проверьте причинность вывода о как безопасно проверить что membership вычисляется как incoming and mask network and mask
Рецензент должен связать наблюдение «публичный IPv6 адрес проходит deny/allow rule из-за AND с networkAddress вместо subnetMask» с конкретной границей «как безопасно проверить что membership вычисляется как incoming and mask network and mask для всех 128 бит и prefix lengths в netty ipsubnetfilterrule ipv6 без production данных», а не с похожим внешним симптомом. Попросите показать, где в resolved build применяется boundary «maven/io.netty:netty-handler >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-handler <= 4.1.134.Final; first patched 4.1.135.Final», почему операция «table-driven pure unit test использует документационные IPv6 ranges, boundary addresses и prefixes /0,/64,/127,/128» обратима и какие значения rule action, prefix, address class, masked input, masked network, decision получены измерением. Затем отдельно объясните, почему результат «каждая boundary pair даёт математически ожидаемое решение, порядок rules не скрывает ошибку» проверяет и отказ, и штатный control. Если хотя бы одно звено отсутствует, вывод возвращается в Unknown; severity advisory нельзя переносить на локальную установку автоматически.
Особенность механизма netty-ipv6-subnet-mask-comparator
IPv6-правило проверяется математикой маски: masked input должен совпасть с masked network ровно для адресов внутри prefix. Набор /0, /64, /127 и /128 ловит разные ошибки границ и знакового сравнения. Переставьте rules и повторите таблицу, чтобы first-match не спрятал неверный comparator. Это чистый unit-test функции решения; внешний трафик и изменение firewall сделали бы вывод одновременно опаснее и слабее.
Обновление, повторная проверка и граница остановки
Предпочтительное действие — перейти на исправленную upstream-ветку из boundary «maven/io.netty:netty-handler >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-handler <= 4.1.134.Final; first patched 4.1.135.Final», затем повторить тот же fixture и штатный control. Временная мера допустима только если разрывает описанный механизм, имеет владельца, срок действия, наблюдаемый сигнал и проверяемый rollback. Обязательный stop-rule: не менять firewall production и не тестировать доступом с внешних addresses.. При его срабатывании эксперимент прекращают, не расширяя доступ и не повышая нагрузку. В обращение к maintainer включите provenance, feature state, матрицу полей и ссылки на reviewed advisory и прямой upstream-источник; эксплуатационные инструкции и данные реальной среды исключите.
Минимальный пакет для поддержки по netty-ipv6-subnet-mask-comparator
Соберите короткую причинную карточку: боль — «публичный IPv6 адрес проходит deny/allow rule из-за AND с networkAddress вместо subnetMask»; invariant — «как безопасно проверить что membership вычисляется как incoming and mask network and mask для всех 128 бит и prefix lengths в netty ipsubnetfilterrule ipv6 без production данных»; версия — «maven/io.netty:netty-handler >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-handler <= 4.1.134.Final; first patched 4.1.135.Final»; операция — «table-driven pure unit test использует документационные IPv6 ranges, boundary addresses и prefixes /0,/64,/127,/128»; поля — rule action, prefix, address class, masked input, masked network, decision; PASS — «каждая boundary pair даёт математически ожидаемое решение, порядок rules не скрывает ошибку». Добавьте hash теста, результат positive/negative controls, cleanup result и причину, по которой тест не касается внешней системы. Не включайте IP, токены, реальные имена, ключи, содержимое документов или полные логи. Если direct source подтверждает только release context, так и укажите: он не является доказательством локальной уязвимости. Граница остановки остаётся неизменной: не менять firewall production и не тестировать доступом с внешних addresses..
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые источники, безопасный fixture, privacy-границы и отсутствие рекламных обещаний затем перепроверены.
Источники и проверка
- GitHub Reviewed Advisory ghsa-3qp7-7mw8-wx86 проверено 2026-08-31
- Прямой upstream-источник для Netty: IPv6 subnet rule сравнивает через mask проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.