ASE/SECURITY_FIXES.md

Correzioni di Sicurezza e Ottimizzazioni - ASE

Data: 2025-10-11 Versione: 0.9.0

🔴 Vulnerabilità Critiche Risolte

1. SQL Injection - RISOLTO ✓

Tutte le query SQL sono state aggiornate per usare query parametrizzate invece di interpolazione di stringhe con f-strings.

File modificati:

src/utils/database/loader_action.py

• Linea 137-143: Funzione update_status() - Parametrizzata query UPDATE per status e timestamp
• Linea 166: Funzione unlock() - Parametrizzata query UPDATE per unlock record
• Linea 190-197: Funzione get_matlab_cmd() - Parametrizzati tool e unit nelle JOIN
• Linea 230-239: Funzione find_nearest_timestamp() - Parametrizzati tutti i valori del dizionario

src/utils/database/action_query.py

• Linea 51-58: Funzione get_tool_info() - Parametrizzati tool e unit nella WHERE clause
• Linea 133: Funzione get_elab_timestamp() - Parametrizzato id_recv

src/utils/database/nodes_query.py

• Linea 25-33: Funzione get_nodes_type() - Parametrizzati tool e unit nella WHERE clause

src/utils/csv/data_preparation.py

• Linea 28: Funzione get_data() - Parametrizzato id nella SELECT

src/utils/connect/file_management.py

• Linea 66: Parametrizzato serial_number nella SELECT per vulink_tools

Impatto: Eliminato completamente il rischio di SQL injection in tutto il progetto.

---

⚡ Ottimizzazioni I/O Bloccante - RISOLTO ✓

2. File I/O Asincrono con aiofiles

File: src/utils/general.py

Modifiche (linee 52-89):

• Sostituito open() sincrono con aiofiles.open() asincrono
• Migliorato accumulo errori/warning da tutti i file (bug fix)
• Ora raccoglie correttamente errori da tutti i file invece di sovrascriverli

Benefici:

• Non blocca più l'event loop durante lettura file di log
• Migliore performance in ambienti con molti worker concorrenti
• Fix bug: ora accumula errori da tutti i file log

3. SMTP Asincrono con aiosmtplib

File: src/utils/connect/send_email.py

Modifiche (linee 1-4, 52-63):

• Sostituito smtplib.SMTP sincrono con aiosmtplib.send() asincrono
• Eliminato context manager manuale, usa direttamente aiosmtplib.send()
• Configurazione TLS con parametro start_tls=True

Benefici:

• Invio email non blocca più altri worker
• Migliore throughput del sistema sotto carico
• Codice più pulito e moderno

4. FTP - TODO FUTURO

File: src/utils/connect/send_data.py

Azione: Aggiunto commento TODO critico alle linee 14-17

# TODO: CRITICAL - FTP operations are blocking and should be replaced with aioftp
# The current FTPConnection class uses synchronous ftplib which blocks the event loop.
# This affects performance in async workflows. Consider migrating to aioftp library.
# See: https://github.com/aio-libs/aioftp

Nota: La sostituzione di FTP richiede un refactoring più complesso della classe FTPConnection e di tutte le funzioni che la usano. Raccomandata per fase successiva.

---

📦 Dipendenze Aggiornate

File: pyproject.toml

Aggiunte nuove dipendenze (linee 14-15):

"aiofiles>=24.1.0",
"aiosmtplib>=3.0.2",

Installazione

Per installare le nuove dipendenze:

# Con uv (raccomandato)
uv pip install -e .

# Oppure con pip standard
pip install -e .

---

📋 Riepilogo Modifiche per File

File	Vulnerabilità	Ottimizzazioni	Linee Modificate
loader_action.py	4 SQL injection	-	~50 linee
action_query.py	2 SQL injection	-	~10 linee
nodes_query.py	1 SQL injection	-	~5 linee
data_preparation.py	1 SQL injection	-	~3 linee
file_management.py	1 SQL injection	-	~3 linee
general.py	-	File I/O async + bug fix	~40 linee
send_email.py	-	SMTP async	~15 linee
send_data.py	-	TODO comment	~4 linee
pyproject.toml	-	Nuove dipendenze	2 linee

Totale: 9 SQL injection risolte, 2 ottimizzazioni I/O implementate, 1 bug fix

---

✅ Checklist Post-Installazione

1. ✅ Installare le nuove dipendenze: uv pip install -e .
2. ⚠️ Testare le funzioni modificate in ambiente di sviluppo
3. ⚠️ Verificare connessioni database con query parametrizzate
4. ⚠️ Testare invio email con aiosmtplib
5. ⚠️ Testare lettura file di log
6. ⚠️ Eseguire test di carico per verificare miglioramenti performance
7. ⚠️ Pianificare migrazione FTP a aioftp (fase 2)

---

🔍 Prossimi Passi Raccomandati

✅ Completato - Graceful Shutdown

IMPLEMENTATO: Graceful shutdown per SIGTERM/SIGINT con:

• Signal handlers per SIGTERM e SIGINT
• Shutdown coordinato di tutti i worker
• Grace period di 30 secondi
• Cleanup pool database nel finally block
• Pool database con pool_recycle=3600 per riciclare connessioni

Vedi documentazione completa in GRACEFUL_SHUTDOWN.md

Alta Priorità

1. Testing approfondito di tutte le funzioni modificate
2. Testing graceful shutdown in ambiente di produzione
3. Migrazione FTP a aioftp - Elimina ultimo blocco I/O
4. Rimozione mysql-connector-python - Usare solo aiomysql

Media Priorità

5. Implementare circuit breaker per servizi esterni
6. Ridurre duplicazione codice in send_data.py
7. Aggiungere metriche e monitoring

Bassa Priorità

9. Migliorare type hints
10. Estrarre costanti magiche in configurazione
11. Aggiungere health check endpoint

---

📝 Note per gli Sviluppatori

Query Parametrizzate - Best Practice

PRIMA (vulnerabile):

await cur.execute(f"SELECT * FROM table WHERE id = {id}")

DOPO (sicuro):

await cur.execute("SELECT * FROM table WHERE id = %s", (id,))

Async I/O - Best Practice

PRIMA (blocca event loop):

with open(file_path) as f:
    data = f.read()

DOPO (non blocca):

async with aiofiles.open(file_path) as f:
    data = await f.read()

---

🐛 Bug Fix Inclusi

1. general.py: Errori/warning ora vengono accumulati da tutti i file invece di essere sovrascritti dall'ultimo file processato

---

📞 Supporto

Per domande o problemi relativi a queste modifiche, fare riferimento a:

• Issue tracker del progetto
• Documentazione SQL injection: https://owasp.org/www-community/attacks/SQL_Injection
• Documentazione asyncio: https://docs.python.org/3/library/asyncio.html

---

Autore: Claude Code Review: Da effettuare dal team