Den første udgave af Gixy-Next-projektet er præsenteret, som udvikler en statisk analyser for Nginx-konfigurationsfiler, der gør det muligt at identificere problematiske indstillinger, der negativt påvirker sikkerhed og ydeevne. Projektet ledes af Joshua Rogers, som for flere år siden opdagede 55 sårbarheder i proxy-serveren Squid. Gixy-Next er skabt som en fork af Gixy-ng-projektet, der fortsatte udviklingen af værktøjerne fra Gixy, der blev åbnet af Yandex i 2017 og ikke er blevet opdateret de sidste to år.
Årsagen til oprettelsen af den nye fork er utilfredshed med handlingerne fra vedligeholderen af Gixy-ng-projektet, der misbruger AI-værktøjer under udviklingen. Forken blev oprettet efter, at repository begyndte at modtage automatisk genererede ændringer, der ikke var blevet passende anmeldt, hvilket førte til regressioner og ændringer i værktøjernes opførsel. Der dukkede meningsløse artefakter op i koden fra anvendelsen af AI, samt funktioner, der ikke gjorde det, de skulle. For eksempel blev der indsendt oppustede rettelser, der tog tusinde linjer, som kunne erstattes med en 10-linjers patch. Desuden blev der tilføjet reklamer til dokumentationen og den indbyggede hjælp, og eksterne pull-anmodninger blev accepteret med udeladelse af oplysninger om forfatterne.
I Gixy-Next er kodebasen blevet ryddet for affaldsændringer skabt ved hjælp af AI, fejl er blevet rettet, og der er etableret testning af store NGINX-konfigurationsfiler, samt tilføjet ændringer for at lette vedligeholdelsen af kodebasen. Blandt de nye funktioner i Gixy-Next sammenlignet med det originale Gixy nævnes:
- 19 nye plugins, der kontrollerer korrektheden af indstillinger relateret til adgangsstyring, DNS, proxyering og regulære udtryk, samt identificerer indstillinger, der fører til ekstra omkostninger og nedsat ydeevne.
Blandt de tilføjede plugins: allow_without_deny, return_bypasses_allow_deny, proxy_pass_normalized, merge_slashes_on, resolver_external, stale_dns_cache, version_disclosure, invalid_regex, regex_redos, add_header_content_type, add_header_multiline, add_header_redefinition, default_server_flag, error_log_off, hash_without_default, if_is_evil, try_files_is_evil_too, unanchored_regex, low_keepalive_requests, worker_rlimit_nofile_vs_connections, proxy_buffering_off.
- Standardiseret og reproducerbart output af rapporter, egnet til automatiseret parsing.
- Understøttelse af modulerne map og geo.
- Opdatering af plugins origins, ssrf, http_splitting, alias_traversal og valid_referers for at reducere falske positiver og præcist opdage problemer.
- Korrekt behandling af yderligere konfigurationsfiler, der tilføjes via direktivet 'include'.
- Forbedring af kontrol af regulære udtryk.
- Mulighed for at samle som en online scanner, der kører i browseren.
Kilde: opennet.ru
