К обсуждениям

stream-json: аудит O(depth²) в filters

Редакция VOne Технологии

Как проверить stream-json pick/ignore/filter/replace после complexity fix: operation counters на малых depths и линейный budget без блокировки event loop.

Сначала отделите симптом от факта: stream-json filter pipeline

Advisory указывает, что filter operations на nested input росли квадратично по глубине; commit меняет traversal/state handling для bounded behavior. Применимость устанавливают по реально загруженной версии и доступности именно этого entry point; совпадение названия продукта, общего класса ошибки или CVE в scanner недостаточно. Зафиксируйте package/image/binary digest и effective configuration. GHSA-528h-pc64-c93x задаёт внешнюю границу исследования, а primary change показывает, что изменил maintainer. Пока provenance или reachability не подтверждены, состояние остаётся UNKNOWN. Advisory не сообщает, что конкретная система была атакована, и материал не воспроизводит опасный input.

Матрица решения: complexity table filter kind × depth × tokens × internal operations × elapsed/heartbeat

Соберите «complexity table filter kind × depth × tokens × internal operations × elapsed/heartbeat». Нужные поля: stream-json version, four filter modes, generated shallow depths, operation instrumentation, event-loop delay и RSS ceiling. Каждую строку свяжите с измерением, а не предположением: runtime query, immutable hash, test recorder или bounded counter. Desired config и effective behavior держите в разных колонках. Применяйте TRUE, FALSE, UNKNOWN и NOT-APPLICABLE с короткой причиной. Удалите hostname, IP, usernames, tokens, document content, memory dumps и raw request bodies; для воспроизводимости достаточно относительных ids, размеров, типов и итоговых классов.

Два контроля без опасного payload

В child worker разобрать маленькие synthetic trees глубины 8, 16 и 32, измеряя operation counter вместо создания экстремального input. Перед выполнением запишите SHA-256 fixture, исходные counters, deadline, memory/process ceiling и rollback. Positive control доказывает, что harness достигает нужной функции; negative control должен остановиться на validator, authorization, containment или lifecycle boundary до необратимого эффекта. После каждого случая выполните cleanup и повторно проверьте baseline. Не увеличивайте вход до фактического отказа: достаточно test double, recorder, inert marker либо малого synthetic object.

Что считать PASS для CVE-2026-71429

PASS разрешён только при таком результате: Output semantics совпадают с expected fixtures; рост operations не демонстрирует прежнюю quadratic curve; heartbeat delay и RSS остаются в заданном budget. Практическое действие: Обновить до release с commit; до этого ограничить nesting depth перед filter pipeline и выполнять недоверенный parsing в bounded worker. Если runtime входит в affected range и path доступен, ставят UPDATE-REQUIRED. NOT-REACHABLE относится только к проверенной функции; UNKNOWN сохраняют при неподтверждённом backport или расходящихся hashes. После update повторяют ровно ту же матрицу и один штатный smoke-test. Одновременные изменения network, policy, dependency или data state запрещены: они делают причинность непроверяемой.

Красные линии и передача владельцу

Немедленный stop-rule: Не искать глубину отказа, не блокировать main event loop и остановиться при превышении worker deadline/RSS. Не расширяйте привилегии, глубину, размер, скорость или охват после неожиданного warning, timeout, cross-boundary call или state mutation. Передайте только package/commit hash, filter/depth table, output hashes, operations, heartbeat/RSS и worker exit, плюс московское время, expected/actual, advisory/primary URLs и владельца rollback. Очистите secrets и персональные данные. Такой пакет подтверждает выбранный инвариант, но не отсутствие прошлой эксплуатации, безопасность всей системы, применимость к другой версии, поисковую популярность, индексацию или позиции.

Материал подготовлен редакцией VOne с помощью автоматизированного черновика. Факты и границы вывода сверены 5 сентября 2026 года по прямой advisory и первичному upstream изменению. Текст написан самостоятельно; опасные действия и реальные пользовательские данные не использовались.

Источники и проверка

Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.

Ответы

0 опубликовано
Ответов пока нет. Вы можете начать обсуждение.

Ваш ответ

Добавьте свой опыт или уточнение по теме.

Вы публикуете как Аноним Аватар отличает разговоры, но не раскрывает личные данные.

Ответ появится сразу. Не публикуйте личные данные, ключи и приватные ссылки.