artem.kokos/redmine-reporter
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 17 Wiki Activity

[Security/Enhancement] Предупреждать при REDMINE_VERIFY=false #57

New Issue
Closed
opened 2026-07-12 21:18:14 +07:00 by artem.kokos · 0 comments
artem.kokos commented 2026-07-12 21:18:14 +07:00
Owner
Copy Link

Проблема

redmine_reporter/config.py:31-41 позволяет отключить проверку TLS-сертификата Redmine:

REDMINE_VERIFY=false

Это удобно для отладки с самоподписанными сертифами, но в production приводит к уязвимости MITM: злоумышленник может подменить сервер и украсть API-ключ/пароль.

Дефолт (/etc/ssl/certs/ca-certificates.crt) безопасен, но пользователь может не осознавать риск явного false.

Рекомендации

  1. При чтении REDMINE_VERIFY=false выводить предупреждение в stderr:

    Предупреждение: REDMINE_VERIFY=false отключает проверку TLS-сертификата. Используйте только для отладки.

  2. Добавить опцию --insecure в CLI, чтобы явный отказ от TLS был виден в команде, а не скрыт в .env.

  3. В README добавить раздел «Безопасность» с пояснением, зачем нужен CA bundle и почему опасно отключать проверку.

Связанные места

  • redmine_reporter/config.py:31-41
  • redmine_reporter/cli.py (опционально добавить --insecure)
  • README.md
## Проблема `redmine_reporter/config.py:31-41` позволяет отключить проверку TLS-сертификата Redmine: ```env REDMINE_VERIFY=false ``` Это удобно для отладки с самоподписанными сертифами, но в production приводит к уязвимости MITM: злоумышленник может подменить сервер и украсть API-ключ/пароль. Дефолт (`/etc/ssl/certs/ca-certificates.crt`) безопасен, но пользователь может не осознавать риск явного `false`. ## Рекомендации 1. При чтении `REDMINE_VERIFY=false` выводить предупреждение в `stderr`: ``` Предупреждение: REDMINE_VERIFY=false отключает проверку TLS-сертификата. Используйте только для отладки. ``` 2. Добавить опцию `--insecure` в CLI, чтобы явный отказ от TLS был виден в команде, а не скрыт в `.env`. 3. В README добавить раздел «Безопасность» с пояснением, зачем нужен CA bundle и почему опасно отключать проверку. ## Связанные места - `redmine_reporter/config.py:31-41` - `redmine_reporter/cli.py` (опционально добавить `--insecure`) - `README.md`
artem.kokos added the enhancementconfigsecurity labels 2026-07-12 21:18:14 +07:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
bug
cli
config
critical
enhancement
formats
odt
packaging
performance
redmine
refactoring
reliability
report
security
No Label config enhancement security
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
artem.kokos
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: artem.kokos/redmine-reporter#57
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?