- Spegnimento
- 4 agosto 2026 alle ore 03:50 UTC
- Autore
- Kamo
- Impegno
- b111065
La volta del documento accettava caricamenti arbitrari senza scansione malware ovunque sulla piattaforma, ed è multi-tenant — un file uno org uploads è aperto dagli utenti di un altro org attraverso lo spettatore, l'editor WOPI e il legante. ClamAV su INSTREAM, parlato direttamente a clamd (nessuna libreria client; la il protocollo è una presa e un prefisso di lunghezza). Il cancello corre ImagingUploadController su /upload e /templates/upload, prima del membro ricerca e prima di qualsiasi byte raggiungere MinIO — scansione dopo lo stoccaggio lascia il oggetto recuperabile per la larghezza della gara. Il comportamento non raggiungibile è FAIL OPEN per impostazione predefinita, e questa è una decisione piuttosto che un incidente. clamd non è ancora distribuito: questa è l'applicazione metà, e la distribuzione è un atto operativo separato (KlusterServices auto-applica su spinta e non è questo cambiamento di toccare). Spedizione non chiuso prendere documento caricare giù per ogni inquilino il momento in cui l'immagine rotola, con nessuna messa in scena in cui sarebbe stato catturato. Fail-open qui non è "nessuna protezione", è lo status quo degli ultimi anni, ora registrato ERROR ogni volta che succede. Ogni manopola, inclusa la chiusura a scomparsa, vive in kamowsconversion-config, quindi stringerlo una volta che il clamd è stabile è una configurazione modificare e riavviare, non un rilascio. Un interruttore limita il costo di uno scanner assente: dopo 3 consecutivi guasti la guardia smette di dialling per 60s, quindi i caricamenti non pagano ciascuno collegare timeout per un controllo che è effettivamente fuori. Sul rilevamento: 422 nominando la firma (non un 5xx — riprova non aiuterà), i byte sono conservati in un secchio di quarantena dedicato piuttosto che cadere, e il rifiuto viene registrato tramite PhiAccessRecorder. La riga di audit porta solo gli identificatori; il nome del file caricato rimane fuori di esso perché i nomi dei file qui regolarmente contengono i nomi dei mutuatari. PhiAccessKind non ha membri UPLOAD e aggiunge uno avrebbe alterato il vincolo di una colonna @Enumerated(STRING) nella condivisa biblioteca, così DOWNLOAD + consentite=false è utilizzato e la ragione è documentata il sito di chiamata. Inoltre passa il percorso PHI di questo servizio allo scrittore phi access log durevole. La voce corrispondente com.kamo.z.shared.phi.audit è nella stessa commit @EnableJpaRepositories elenco, e PhiAuditRepositoryScanTest non riesce la costruzione se i due sempre alla deriva — che l'accoppiamento è quello che ha preso ogni login giù il 2026-08-03. Retro-scan (POST) nel caveau, inquilino e inciampato. Rapporti e conserve, mai blocchi o cancella: fare un oggetto memorizzato ha bisogno di una quarantena perseverata flag, cioè una colonna in comune-libraria applicata da un inizializzatore a mano mentre servizio CI costruisce contro principale, e la cancellazione su un falso positivo distruggerebbe Il record di un inquilino senza recupero. Test: 36 nuovi. Preesistente. at or below 1080 ancora fallisce su un albero pulito; intatto. Non coperto, deliberatamente: RecordingIngestController (internal-auth Asterisk push) e il WOPI PutFile di DocsService sono i percorsi secondari che vogliono lo stesso gate, ma lo scanner vive in questo servizio e WOPI non ha un token attribuire una riga di audit a. Entrambi sono follow-up, non supervisione.