SSRF-poort: bewaak ook een tweede client in een al toegelaten bestand #471

Merged

brenno merged 1 commit from fix/ssrf-buildguard into main 2026-07-22 00:41:00 +00:00

Conversation 0 Commits 1 Files changed 1 +73

brenno commented 2026-07-22 00:40:55 +00:00

Owner

Copy link

Uit de externe audit (X-03). De bevinding zelf — "geen build-guard tegen een vergeten 8e egress-site" — is inmiddels achterhaald: test/network_sink_guard_test.dart bewaakt HttpClient, package:http, dio en rauwe sockets, breder dan de audit voorstelde.

Wat er wél nog open stond is de granulariteit. De allowlist werkt per bestand, dus een tweede, ongepinde client in een al toegelaten bestand glipt erdoor. Dit legt het aantal per bestand vast als ratchet.

Beide richtingen getoetst: nul op de repo, rood op een geplante overtreding. make check groen.

Uit de externe audit (X-03). De bevinding zelf — "geen build-guard tegen een vergeten 8e egress-site" — is inmiddels achterhaald: `test/network_sink_guard_test.dart` bewaakt HttpClient, package:http, dio en rauwe sockets, breder dan de audit voorstelde. Wat er wél nog open stond is de granulariteit. De allowlist werkt per bestand, dus een tweede, ongepinde client in een al toegelaten bestand glipt erdoor. Dit legt het aantal per bestand vast als ratchet. Beide richtingen getoetst: nul op de repo, rood op een geplante overtreding. `make check` groen.

brenno added 1 commit 2026-07-22 00:40:55 +00:00

test(ssrf): bewaak ook een tweede client in een al toegelaten bestand ... 63bea9a753

De egress-allowlist werkt per bestand. Dat bewijst "dit bestand kent de
poort", maar niet "élke client in dit bestand gaat erdoor": zodra
webdav_service.dart erop staat, glipt een tweede, ongepinde HttpClient in
datzelfde bestand er ongezien langs.

Statisch bewijzen dát een instantie een connectionFactory krijgt lukt niet —
local_cve_database_io construeert in getJson en pint pas in _get, en dat is
legitiem. Wat wél te bewijzen valt is dat het aantal niet stilletjes groeit.
Vandaar een ratchet per bestand, in dezelfde vorm die check_conventions
elders gebruikt.

Beide richtingen getoetst: nul op de repo, en rood op een geplante extra
client in webdav_service.dart.

brenno merged commit 8a122c8b6f into main 2026-07-22 00:41:00 +00:00

brenno referenced this pull request from a commit 2026-07-22 00:41:03 +00:00

Merge pull request 'SSRF-poort: bewaak ook een tweede client in een al toegelaten bestand' (#471) from fix/ssrf-buildguard into main

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels

No items

No labels

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

LibreKAT/Ocideck!471

No description provided.