Составление отчётов об уязвимостях

Используйте $codex-security:vulnerability-writeup, чтобы создать самодостаточный отчёт для каждой отдельной уязвимости. В качестве отправной точки можно использовать результаты сканирования Codex Security или непосредственно предоставленные сведения об уязвимостях, примечания о раскрытии, PoC и исходный код. Проведение сканирования Codex Security не обязательно.

Подготовка доказательств

Предоставьте рабочему процессу:

• Результаты анализа, заметки о раскрытии уязвимостей или документы с оценкой для проверки.
• Целевое дерево исходного кода и затронутую ревизию или выпуск.
• Имеющиеся PoC, журналы, трассировки, снимки экрана или диагностические данные.
• Коммиты с исправлениями или diff, если они доступны.

Перед составлением отчёта Codex проверяет каждое утверждение по затронутому исходному коду. Если исходный код или затронутая ревизия недоступны, решите, следует ли продолжить подготовку отчёта с указанием непроверенных утверждений.

Запуск рабочего процесса

Отправьте примерно такой запрос:

Use $codex-security:vulnerability-writeup to create one self-contained report for each distinct vulnerability in [input paths]. Verify the claims against [source path and revision], preserve or improve the supplied PoCs, and write the reports to [output directory]. Use a local test environment for reproductions.

Codex составляет перечень предоставленных материалов, группирует отчёты с одинаковыми первопричиной и уязвимым путём выполнения и создаёт отдельный каталог отчёта для каждой уникальной уязвимости. Каждый каталог содержит отчёт в формате Markdown и каталог poc/, если доступны вспомогательные файлы PoC.

Проверка каждого отчёта

Перед распространением отчёта убедитесь, что он:

• Прослеживает ошибку от контролируемой атакующим точки входа до нарушенного инварианта безопасности и последствий.
• Отличает проверенное поведение от гипотез и неустранённых ограничений.
• Содержит фрагменты исходного кода с указанием путей, функций и затронутой ревизии.
• Содержит исходный код PoC, инструкции по сборке или запуску, характерный вывод и ограничения безопасного использования, если создание PoC целесообразно.
• Использует переносимые пути и не зависит от внутреннего хранилища или локальных абсолютных путей.

Использование отчётов, полученных при сканировании

Подробные отчёты об уязвимостях необязательны для стандартного, глубокого сканирования и сканирования изменений. Если вы запрашиваете их, Codex записывает каждый отчёт в findings/<slug>/<slug>.md, сохраняет вспомогательные файлы в findings/<slug>/poc/ и добавляет ссылку на отчёт в report.md.

При передаче или архивировании результатов сканирования сохраняйте весь каталог сканирования целиком. Чтобы найти улучшения, устраняющие общие для нескольких отчётов закономерности, перейдите к разделу Предложение мер по усилению безопасности.