Byl představen první vydání projektu Gixy-Next, který vyvíjí statický analyzátor pro konfigurační soubory Nginx, umožňující odhalovat problematická nastavení, negativně ovlivňující bezpečnost a výkon. Projekt rozvíjí Joshua Rogers, který před několika lety odhalil 55 zranitelností v proxy serveru Squid. Gixy-Next byl vytvořen jako fork projektu Gixy-ng, který pokračoval ve vývoji nástrojů Gixy, otevřených společností Yandex v roce 2017 a v posledních dvou letech nebyly aktualizovány.
Jako důvod vzniku nového forku je uvedeno nespokojenost s činnostmi maintainerů projektu Gixy-ng, kteří zneužívali používání AI nástrojů při vývoji. Fork byl vytvořen poté, co do repozitáře byly přidávány automaticky generované změny, které neprošly řádným přezkumem a vedly k regresím a porušení chování nástrojů. V kódu se objevily bezvýznamné artefakty od použití AI a funkce, které nedělaly to, co měly. Například byly provedeny nafouknuté opravy, které zabíraly tisíce řádků, které by mohly být nahrazeny 10-řádkovým patch. Navíc byla do dokumentace a vestavěné nápovědy přidána reklama a přijaté externí pull requesty byly bez informací o autorech.
V Gixy-Next byla provedena čistka kódové základny od odpadních změn vytvořených pomocí AI, byly opraveny chyby, nastaveno testování na velkých konfiguračních souborech NGINX a byly přidány změny pro zjednodušení údržby kódové základny. Mezi novými možnostmi Gixy-Next ve srovnání s původním Gixy se uvádí:
- 19 nových pluginů, které kontrolují správnost nastavení spojených s řízením přístupu, DNS, proxy a regulárními výrazy, a také identifikují nastavení vedoucí k dodatečným nákladům a snížení výkonu.
Mezi přidanými pluginy jsou: allow_without_deny, return_bypasses_allow_deny, proxy_pass_normalized, merge_slashes_on, resolver_external, stale_dns_cache, version_disclosure, invalid_regex, regex_redos, add_header_content_type, add_header_multiline, add_header_redefinition, default_server_flag, error_log_off, hash_without_default, if_is_evil, try_files_is_evil_too, unanchored_regex, low_keepalive_requests, worker_rlimit_nofile_vs_connections, proxy_buffering_off.
- Standardizovaný a reprodukovatelný výstup zpráv, vhodný pro automatizované zpracování.
- Podpora modulů map a geo.
- Modernizace pluginů origins, ssrf, http_splitting, alias_traversal a valid_referers pro snížení falešných pozitiv a přesnější detekci problémů.
- Správné zpracování dodatečných konfiguračních souborů, které jsou připojeny pomocí direktivy „include“.
- Zlepšení kontroly regulárních výrazů.
- Možnost sestavení jako online skener, který funguje v prohlížeči.
Zdroj: opennet.ru
