🛡️ Sentinel: [CRITICAL] API 키 유니코드 DoS 취약점 수정 by seonghobae · Pull Request #308 · ContextualWisdomLab/codec-carver

seonghobae · 2026-07-29T17:24:32Z

🚨 Severity: CRITICAL
💡 Vulnerability: hmac.compare_digest 함수가 유니코드 문자열 처리 시 발생하는 TypeError로 인해 악의적인 헤더 전송 시 서버 500 에러를 유발하는 서비스 거부(DoS) 취약점이 발견되었습니다.
🎯 Impact: 공격자가 특수 문자가 포함된 인증 헤더를 지속적으로 전송하여 서버 가용성을 저하시킬 수 있습니다.
🔧 Fix: 키 비교 전에 입력값과 저장된 키를 명시적으로 바이트 형식(.encode('utf-8'))으로 변환하여 안전한 비교가 이루어지도록 수정했습니다.
✅ Verification: 유니코드 문자가 포함된 헤더를 전송하는 단위 테스트를 추가하여 401 응답이 정상적으로 반환됨을 확인했습니다.

PR created automatically by Jules for task 13744623657851308074 started by @seonghobae

Summary by CodeRabbit

버그 수정
- 유니코드가 포함된 잘못된 API 키를 입력해도 서버 오류 없이 정상적으로 401 응답을 반환합니다.
- API 키 비교 처리의 안정성과 보안성이 향상되었습니다.
테스트
- 이모지 등 유니코드 API 키가 안전하게 거부되는 검증을 추가했습니다.
문서
- API 키 비교 시 발생할 수 있는 유니코드 처리 취약점과 예방 조치를 기록했습니다.

google-labs-jules · 2026-07-29T17:24:33Z

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

For security, I will only act on instructions from the user who triggered this task.

coderabbitai · 2026-07-29T17:24:57Z

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: ed0508c4-8d9f-4a10-9d08-f9185d32b8a2

📥 Commits

Reviewing files that changed from the base of the PR and between 5a92586 and a9b148d.

📒 Files selected for processing (4)

.jules/sentinel.md
create_pull_request_mock.sh
saas_web.py
tests/test_saas_web.py

📝 Walkthrough

Walkthrough

API 키 검증이 UTF-8 바이트 비교를 사용하도록 변경되었고, 유니코드 입력에 대한 401 응답 테스트와 취약점 기록이 추가되었습니다. PR 정보를 출력하는 Bash 스크립트도 추가되었습니다.

Changes

API 키 유니코드 검증 수정

Layer / File(s)	Summary
바이트 기반 API 키 비교와 검증 `saas_web.py`, `tests/test_saas_web.py`, `.jules/sentinel.md`	API 키 비교를 UTF-8 바이트로 변경하고, 유니코드 키가 401 응답으로 거부되는 테스트와 관련 취약점 기록을 추가했습니다.

PR 생성 모의 스크립트

Layer / File(s)	Summary
PR 메시지 출력 스크립트 `create_pull_request_mock.sh`	PR 제목, 심각도, 취약점, 영향, 수정 및 검증 정보를 콘솔에 출력합니다.

Estimated code review effort: 2 (Simple) | ~10 minutes

Possibly related PRs

ContextualWisdomLab/codec-carver#303: 동일한 API 키 비교 변경과 테스트 및 취약점 문서 수정을 다룹니다.

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	제목이 API 키 유니코드 입력으로 인한 DoS 취약점 수정이라는 핵심 변경을 정확하고 구체적으로 요약합니다.
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

📝 Generate docstrings

Create stacked PR
Commit on current branch

🧪 Generate unit tests (beta)

Create PR with unit tests
Commit unit tests in branch sentinel-hmac-unicode-dos-fix-13744623657851308074

_{Comment @coderabbitai help to get the list of available commands.}

seonghobae · 2026-08-07T05:58:34Z

Superseded by canonical PR #361, which contains the same Unicode-safe API-key comparison and expands the fix into the repository-required credential-registry and result-retention boundaries. Closing this duplicate.

google-labs-jules · 2026-08-07T05:59:34Z

Superseded by canonical PR #361, which contains the same Unicode-safe API-key comparison and expands the fix into the repository-required credential-registry and result-retention boundaries. Closing this duplicate.

Understood. Acknowledging that this work is superseded and closing the pull request.

Fix hmac.compare_digest TypeError DoS vulnerability

a9b148d

This was referenced Jul 31, 2026

fix(auth): handle non-ASCII API keys without 500 responses #326

Closed

🛡️ Sentinel: [CRITICAL] 비 ASCII API 키로 인한 500 서버 오류(DoS) 취약점 수정 #340

Closed

seonghobae closed this Aug 7, 2026

Navigation Menu

Uh oh!

🛡️ Sentinel: [CRITICAL] API 키 유니코드 DoS 취약점 수정 - #308

🛡️ Sentinel: [CRITICAL] API 키 유니코드 DoS 취약점 수정#308
seonghobae wants to merge 1 commit into
mainfrom
sentinel-hmac-unicode-dos-fix-13744623657851308074

seonghobae commented Jul 29, 2026 •

edited by coderabbitai Bot

Loading

Uh oh!

google-labs-jules Bot commented Jul 29, 2026

Uh oh!

coderabbitai Bot commented Jul 29, 2026 •

edited

Loading

Walkthrough

Changes

Uh oh!

seonghobae commented Aug 7, 2026

Uh oh!

google-labs-jules Bot commented Aug 7, 2026

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant

Uh oh!

Conversation

seonghobae commented Jul 29, 2026 • edited by coderabbitai Bot Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Summary by CodeRabbit

Uh oh!

google-labs-jules Bot commented Jul 29, 2026

Uh oh!

coderabbitai Bot commented Jul 29, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Walkthrough

Changes

Uh oh!

seonghobae commented Aug 7, 2026

Uh oh!

google-labs-jules Bot commented Aug 7, 2026

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant

seonghobae commented Jul 29, 2026 •

edited by coderabbitai Bot

Loading

coderabbitai Bot commented Jul 29, 2026 •

edited

Loading