prod/HY2XS_flamy
5
1
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 6 Wiki Activity

fix(security): harden diagnostics storage boundary

Browse Source
This commit is contained in:
Crimson
2026-09-07 19:52:11 +05:00
parent af9f476658
commit a3445f79c5
12 changed files with 562 additions and 37 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/operations/13-production-runbook.md
+5 -2
View File
@@ -349,9 +349,12 @@ hy2xs-orchestrator redact-config --config /etc/hysteria/config.yaml --out /root/
(`hy2xs-orchestrator diagnostics collect`), который собирается автоматически при
неудачной установке или реконфигурации. Бандл предназначен для передачи наружу,
поэтому попадающие в него `hy2xs.env`, `post-install.env` и `config.yaml`
редактируются перед упаковкой.
редактируются перед упаковкой. Готовый архив находится в
`/var/lib/hy2xs/diagnostics`, принадлежит `root:root` и имеет режим `0600`.
Сам каталог имеет режим `0700`; не ослабляйте его права и не переносите bundle
в `HY2XS_LOG_DIR`, доступный сервисному пользователю.
При отказе **до** начала применения изменений (`fatal_pre_apply`) бандл не
собирается: его сбор сам создал бы каталоги в `/var/log/hy2xs` на сервере,
собирается: его сбор сам создал бы каталог в `/var/lib/hy2xs/diagnostics` на сервере,
который мы обещали не трогать.