Open-source REA Lab: npm アーティファクトの固定とそのエントリ スライスの分析
ターゲット: 公式 npm 試薬 6.4.0 package.json および scripts/rea.mjs
著者/帰属: martinlofranodeoliveira
ソースレビュー日:
レビュー状況: 情報源をレビューしました。著者のテストは独立して再実行されません。
質問
制限されたエントリ ファイルの質問に答える前に、リリース アーティファクトをどのように特定できるでしょうか?
REAがしたこと
独立した Python 監査人が最初にアーカイブ構造とハッシュをチェックします。 REA は、検証済みのパッケージから抽出された 2 つの未変更のファイルを静的に分析します。エントリブランチのセマンティクスでは、手動による構文チェックも使用されます。監査人および手動の結論は REA 出力ではありません。
著者が報告した結果
著者は、固定されたダイジェスト、監査 JSON、サニタイズされた Evidence 概要、および再現スクリプトを公開しています。このスライスは、1 で解析された JavaScript ファイル、469 AST ノード、14 の結果、および解析失敗がゼロであることを報告しますが、セマンティック拡張中にフルパッケージ分析が中断されたことを指摘しています。
制限と未検証の主張
14 の調査結果は脆弱性の数ではありません。スライスは 110 セマンティック未知を保持し、dist 実装がないため、完全なパッケージのセキュリティや実行時の正確性を確立できません。サニタイズされた概要は再生できない正規の Evidence です。フルパッケージの適用範囲は部分的です。このカタログではそれを再掲載しませんでした。
何を学ぶか
中断や不明点を保持しながら、質問と入力をバインドします。構造チェック、バイトの同一性、および実行時の安全性は、異なる結論になります。
ソース内の REA 使用の証拠
Can REA statically parse the actual shipped dispatcher?抜粋の書式設定が簡素化されています。完全な文脈については、元のソースを読んでください。
オリジナルの情報源
独立した編集者の要約。クレジットは原作者に帰属します。ターゲット ソフトウェア、インストーラー、および完全な逆コンパイラー出力は、ここでは再配布されません。