131 lines
6.3 KiB
JSON
131 lines
6.3 KiB
JSON
[
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:13",
|
|
"problem": "直接將網際網路的腳本經由 pipe 傳送給 shell 執行 (curl | sh) 極度危險，若該網址遭受劫持或供應商被駭，攻擊者可輕易於建置期間取得容器完整控制權。",
|
|
"suggestion": "應先將腳本下載至本地，透過 sha256sum 驗證其完整性後，再以 `sh` 執行。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:16",
|
|
"problem": "從未經驗證的遠端 git 儲存庫安裝插件，或以不安全方式下載腳本，將導致任意程式碼執行風險及構建不一致。",
|
|
"suggestion": "必須鎖定特定 commit hash (SHA) 來引用插件，確保所安裝內容符合預期且未遭篡改；並應對下載腳本進行哈希驗證。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Mage",
|
|
"location": "Dockerfile:17",
|
|
"problem": "在 Docker 構建階段直接執行插件安裝並嘗試同時啟用，若網路不穩或遠端服務不可用，構建會失敗，且可能導致環境處於損壞狀態。",
|
|
"suggestion": "建議將插件安裝邏輯移至 `entrypoint.sh`，或在 Dockerfile 中增加重試機制與錯誤捕獲（如 `set -o pipefail`）。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "Dockerfile:11",
|
|
"problem": "新增了 Codex CLI 的安裝與插件註冊過程，但沒有對應的測試來驗證安裝是否成功、插件是否正確載入。",
|
|
"suggestion": "應在測試套件中加入 Docker 映像檔的整合測試，驗證容器啟動後 `codex --version` 及插件列表是否存在。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "entrypoint.sh:20",
|
|
"problem": "使用了 `--dangerously-bypass-approvals-and-sandbox` 參數，直接棄守了沙盒防禦機制。若輸入內容可被外部操縱，攻擊者可藉此執行任意指令。",
|
|
"suggestion": "移除此危險參數。必須落實沙盒隔離機制與人工審核流程，並對輸入進行嚴格驗證。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "entrypoint.sh:18",
|
|
"problem": "核心邏輯（如 base64 解碼、`codex exec`）缺乏測試案例，無法確保在環境變數缺失、內容損壞或命令執行失敗時的錯誤處理正確。",
|
|
"suggestion": "應為相關關鍵邏輯補上單元測試，模擬各種環境變數設定及 `codex exec` 的成功與失敗路徑，並驗證對應的退出碼與檔案處理。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Leo",
|
|
"location": "entrypoint.sh:17",
|
|
"problem": "敏感憑證 (OAUTH) 被直接以 base64 解碼後寫入檔案 (`/root/.codex/auth.json`)，且未確保後續清理，導致憑證洩漏風險。",
|
|
"suggestion": "確保該目錄權限封閉（chmod 600），並使用 `trap` 指令在腳本結束時自動清除該憑證檔案。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Mage",
|
|
"location": "entrypoint.sh:17",
|
|
"problem": "代碼使用 `base64 -d` 解碼並直接寫入檔案，未校驗該變數是否為合法格式，若失敗則無法確保建置或執行狀態正確。",
|
|
"suggestion": "在解碼操作後明確添加檢查機制，若失敗則報錯並中止。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Assassin",
|
|
"location": "action.yaml:23",
|
|
"problem": "將包含認證資訊的 `OAUTH` 透過環境變數傳遞，這使得該敏感資訊易被竊取。",
|
|
"suggestion": "應透過檔案掛載或專用的秘密管理服務（如 GitHub Secrets）注入，避免透過公開的 Input 或環境變數傳遞。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Leo",
|
|
"location": "Dockerfile:20",
|
|
"problem": "在建置映像檔時直接安裝插件，會增加建置時間與複雜度，並引入對遠端 Gitea 的網路依賴。",
|
|
"suggestion": "建議將常用的插件預先打包在映像檔中，或透過環境變數配置，減少建置期的網絡依賴。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Mage",
|
|
"location": "entrypoint.sh:17",
|
|
"problem": "直接將 `OAUTH` 環境變數內容解碼寫入，未校驗 Base64 格式，若格式錯誤會產生損壞的認證檔案。",
|
|
"suggestion": "增加對 Base64 格式的初步校驗，明確報錯並終止。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Maya",
|
|
"location": "entrypoint.sh:22",
|
|
"problem": "對於 `GITHUB_OUTPUT` 及 `codex exec` 的處理缺乏測試驗證，無法確保在各種輸入情況下的正確性與失敗處理。",
|
|
"suggestion": "應補測試案例驗證各變數狀態下腳本是否正常執行，確保錯誤發生時不發生預期外行為。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Rogue",
|
|
"location": "Dockerfile:17",
|
|
"problem": "拆分為多個獨立的 `RUN` 指令安裝插件，會產生不必要的映像層，增加了體積與建置時間。",
|
|
"suggestion": "將相關安裝指令透過 `&&` 合併為單一個 `RUN` 指令，以優化映像層數並提升效能。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Bard",
|
|
"location": "action.yaml:4",
|
|
"problem": "輸入參數 `oauth` 實質為 base64 編碼的 json，命名易生誤解。",
|
|
"suggestion": "建議更名為 `auth_config` 或 `encoded_auth_json`。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Rogue",
|
|
"location": "Dockerfile:4",
|
|
"problem": "在 Dockerfile 中安裝了 git 且未清理，導致映像檔過大。",
|
|
"suggestion": "建議在同一層 RUN 指令中以 --virtual 安裝 git，完成後立即刪除。"
|
|
},
|
|
{
|
|
"level": "info",
|
|
"role": "Bard",
|
|
"location": "entrypoint.sh:21",
|
|
"problem": "因參數過長導致指令行不易閱讀。",
|
|
"suggestion": "建議使用反斜線（\\）將指令進行分行書寫。"
|
|
},
|
|
{
|
|
"level": "info",
|
|
"role": "Leo",
|
|
"location": "entrypoint.sh:22",
|
|
"problem": "使用 `--dangerously-bypass-approvals-and-sandbox` 屬於技術債，未來稽核難度大。",
|
|
"suggestion": "評估在生產環境下是否能移除該參數，或設計更細緻的審查機制。"
|
|
},
|
|
{
|
|
"level": "info",
|
|
"role": "Mage",
|
|
"location": "entrypoint.sh:22",
|
|
"problem": "執行 `codex exec` 後未顯式檢查其返回值，若失敗仍報告成功。",
|
|
"suggestion": "在命令後立即檢查退出狀態，確保只有成功時才執行後續邏輯。"
|
|
}
|
|
]
|