CVE-2023-32076

in-toto təchizat zəncirinin bütövlüyünü qorumaq üçün bir freymvorkdur. in-toto konfiqurasiyası müxtəlif qovluqlardan oxunur və istifadəçilərə freymvorkun davranışını konfiqurasiya etməyə imkan verir. Fayllar XDG baza qovluğu spesifikasiyasına uyğun qovluqlardan gəlir. 1.4.0 və ondan əvvəlki versiyalarda oxunan fayllar arasında `.in_totorc` da var ki, bu, in-toto işə salındığı qovluqdakı gizli fayldır. Əgər hücumçu təchizat zənciri addımının girişlərinə nəzarət edirsə, o, lazımi istisna şablonlarını və parametrlərini ehtiva edən `.in_totorc` faylını da ötürməklə öz fəaliyyətini gizlədə bilər. RC faylları digər sistemlərdə geniş istifadə olunur və onların tətbiqlərində də təhlükəsizlik problemləri aşkar edilmişdir. Baxıcılar in-toto istifadəçiləri ilə söhbətlərində müəyyən ediblər ki, `in_totorc` onların in-toto-nu konfiqurasiya etmək üçün üstünlük verdiyi üsul deyil. `in_totorc`-da dəstəklənən seçimlərin heç biri unikal olmadığından və başqa yerdə API parametrləri və ya CLI arqumentləri ilə təyin edilə bildiyindən, baxıcılar `in_totorc` üçün dəstəyi dayandırmaq qərarına gəliblər. in-toto-nun `user_settings` modulu 3a21d84f40811b7d191fa7bd17265c1f99599afd commit-ində tamamilə çıxarılıb. İstifadəçilər həmçinin təhlükəsizlik tədbiri olaraq funksionar kodunu sandbox-da işlədə bilərlər.