backport-fix-prevent-OctKey-to-import-ssh-rsa-pem-keys.patch · changtao/python-Authlib

代码拉取完成,页面将自动刷新

richgiteeai

Watch

不关注关注所有动态仅关注版本发行动态关注但不提醒动态

1 Star 0 Fork 8

changtao/python-Authlib

forked from src-openEuler/python-Authlib

关闭

代码 Issues 0 Pull Requests 0 Wiki 统计流水线

服务

加入 Gitee

与超过 1400万开发者一起发现、参与优秀开源项目,私有仓库也完全免费 :)

免费加入

已有帐号? 立即登录

文件

master

分支 (2)

管理

master

openEuler-24.09

该仓库未声明开源许可证文件(LICENSE),使用请关注具体项目描述及其代码上游依赖。

项目仓库所选许可证以仓库主分支所使用许可证为准

克隆/下载

HTTPS SSH SVN SVN+SSH 下载ZIP

提示

下载代码请复制以下命令到终端执行

为确保你提交的代码身份被 Gitee 正确识别,请执行以下命令完成配置

git config --global user.name userName 
git config --global user.email userEmail

初次使用 SSH 协议进行代码克隆、推送等操作时,需按下述提示完成 SSH 配置

1 生成 RSA 密钥

2 获取 RSA 公钥内容,并配置到 SSH公钥中

在 Gitee 上使用 SVN,请访问使用指南

使用 HTTPS 协议时,命令行会出现如下账号密码验证步骤。基于安全考虑,Gitee 建议配置并使用私人令牌替代登录密码进行克隆、推送等操作

Username for 'https://gitee.com': userName

Password for 'https://userName@gitee.com': # 私人令牌

分支 2

标签 0

python-Authlib

backport-fix-prevent-OctKey-to-import...

backport-fix-prevent-OctKey-to-import-ssh-rsa-pem-keys.patch 1.21 KB

From 3bea812acefebc9ee108aa24557be3ba8971daf1 Mon Sep 17 00:00:00 2001
From: Hsiaoming Yang <me@lepture.com>
Date: Tue, 4 Jun 2024 11:34:43 +0900
Subject: [PATCH] fix: prevent OctKey to import ssh/rsa/pem keys

https://github.com/lepture/authlib/issues/654
---
 authlib/jose/rfc7518/oct_key.py | 15 +++++++++++++++
 1 file changed, 15 insertions(+)

diff --git a/authlib/jose/rfc7518/oct_key.py b/authlib/jose/rfc7518/oct_key.py
index 1db321a..44e1f72 100644
--- a/authlib/jose/rfc7518/oct_key.py
+++ b/authlib/jose/rfc7518/oct_key.py
@@ -6,6 +6,16 @@ from authlib.common.security import generate_token
 from ..rfc7517 import Key
 
 
+POSSIBLE_UNSAFE_KEYS = (
+ b"-----BEGIN ",
+ b"---- BEGIN ",
+ b"ssh-rsa ",
+ b"ssh-dss ",
+ b"ssh-ed25519 ",
+ b"ecdsa-sha2-",
+)
+
+
 class OctKey(Key):
 """Key class of the ``oct`` key type."""
 
@@ -65,6 +75,11 @@ class OctKey(Key):
 key._dict_data = raw
 else:
 raw_key = to_bytes(raw)
+
+ # security check
+ if raw_key.startswith(POSSIBLE_UNSAFE_KEYS):
+ raise ValueError("This key may not be safe to import")
+
 key = cls(raw_key=raw_key, options=options)
 return key
 
-- 
2.33.0

一键复制编辑原始数据按行查看历史

wangziliang 提交于 2024年06月26日 09:04 +08:00 . fix CVE-2024-37568

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46

From 3bea812acefebc9ee108aa24557be3ba8971daf1 Mon Sep 17 00:00:00 2001
From: Hsiaoming Yang <me@lepture.com>
Date: Tue, 4 Jun 2024 11:34:43 +0900
Subject: [PATCH] fix: prevent OctKey to import ssh/rsa/pem keys

https://github.com/lepture/authlib/issues/654
---
 authlib/jose/rfc7518/oct_key.py | 15 +++++++++++++++
 1 file changed, 15 insertions(+)

diff --git a/authlib/jose/rfc7518/oct_key.py b/authlib/jose/rfc7518/oct_key.py
index 1db321a..44e1f72 100644
--- a/authlib/jose/rfc7518/oct_key.py
+++ b/authlib/jose/rfc7518/oct_key.py
@@ -6,6 +6,16 @@ from authlib.common.security import generate_token
 from ..rfc7517 import Key
 
 
+POSSIBLE_UNSAFE_KEYS = (
+ b"-----BEGIN ",
+ b"---- BEGIN ",
+ b"ssh-rsa ",
+ b"ssh-dss ",
+ b"ssh-ed25519 ",
+ b"ecdsa-sha2-",
+)
+
+
 class OctKey(Key):
 """Key class of the ``oct`` key type."""
 
@@ -65,6 +75,11 @@ class OctKey(Key):
 key._dict_data = raw
 else:
 raw_key = to_bytes(raw)
+
+ # security check
+ if raw_key.startswith(POSSIBLE_UNSAFE_KEYS):
+ raise ValueError("This key may not be safe to import")
+
 key = cls(raw_key=raw_key, options=options)
 return key
 
-- 
2.33.0