Создайте терминал сеанса пользователя системы, чтобы вход не мог быть цепочкой

FixSecurityService
Порезанный
4 сентября 2026 г. в 21:22 UTC
Автор
Kamo
Обещать
a5b783a

Пользователь системы является богом по конструкции, поэтому каждый сеанс, отчеканенный для него, несет GD и предлагает разбить стекло. Это хорошо только потому, что личность не Сочинять — и это было. EnterAsController проверил его на одной ветке из двух. SystemUserEntryПолитика Отказывается от чеканки второй сессии Пользователя Системы, но консультируется только тогда, когда AsSystemMember устанавливается. Обычная ветвь задает более слабый вопрос — делает ли это членство принадлежит пользователю вызывающего абонента, которым Пользователь Системы удовлетворяет в каждый арендатор, потому что заполнение дает ему активное членство во всех Они. Таким образом, один вход в одну организацию был ключом ко всем остальным: Прыгай прямо от арендатора к арендатору, никогда не проходя политику снова, неся GD на каждой новой сессии. Он также избежал проверки билетов поддержки. Билетный грант зарегистрирован для отзыв только тогда, когда система Access.isTicketScoped(), которая ложна на Обычная ветвь, поэтому прыжки, сделанные из сеанса, прошедшего по билету, пережили билет. Это оправдывает первое, и SupportSystemSessionRevoker так и не узнал об этом. существовали. Организация платформы была недоступна только потому, что SystemUserBackfillService пропускает организацию верхнего уровня, не оставляя пользователю Системы членства там для входа. Это факт данных, а не правило, и это было единственное, что было между не-богом. оператор, проводящий SYSTEM USER, и сеанс, имеющий право на получение божественного права внутри организации, которая управляет платформой. Одно правило у двери, перед веткой, так что оно охватывает оба: Сеанс может нигде не войти. Введите арендатора в качестве пользователя системы; В другом месте вернитесь на свою собственную сессию и получите разрешение заново. EnterAsSystemUserChainTest пинает его — три из пяти его дел не увенчались успехом. Старый код, и отрицательные утверждают, что не было отчеканено ***, а не только Код состояния. PlatformRightsSystemUserTest определяет вторую половину защиты: PlatformRightsService уже отказал в праве платформы на сеанс Системного пользователя Это то, что удерживает его от /api/security/impersonate/org. Поверхность платформы, но ничто не поддерживало это правило.

Все изменения

Как вы видите судоходство?

Каждое из этих обновлений автоматически попадает в ваше рабочее пространство. Начните бесплатно и смотрите, как он растет неделю за неделей.

Начните бесплатно навсегдаПосмотреть цены