CVE-2023-29193

SpiceDB, Google Zanzibar-dan ilhamlanmış, təhlükəsizlik baxımından kritik tətbiq icazələrinin yaradılması və idarə edilməsi üçün açıq mənbəli verilənlər bazası sistemidir. `spicedb serve` əmri, gRPC API-nin icazəsiz sorğular tərəfindən əldə edilməsinin qarşısını almaq üçün istifadə olunan `--grpc-preshared-key` adlı flaqı ehtiva edir. Bu flaqın dəyərləri həssas, məxfi məlumat kimi qəbul edilməlidir. Metrikalar xidməti tərəfindən təqdim olunan `/debug/pprof/cmdline` son nöqtəsi (defolt olaraq `9090` portunda işləyir) sazlama məqsədləri üçün təqdim edilən əmr sətri flaqlarını açıqlayır. Əgər `--grpc-preshared-key` vasitəsilə parol təyin edilibsə, o zaman açar bu son nöqtə tərəfindən, SpiceDB binarysinə təqdim edilən hər hansı digər flaqlarla birlikdə açıqlanır. Bu problem 1.19.1 versiyasında düzəldilmişdir. ### Təsir İstehsal istifadəsi üçün tövsiyə olunan ən yaxşı təcrübələrə riayət edən bütün yerləşdirmələr **TƏSİRLƏNMİR**: - Authzed-in SpiceDB Serverless - Authzed-in SpiceDB Dedicated - SpiceDB Operator SpiceDB-ni mühit dəyişənləri vasitəsilə konfiqurasiya edən istifadəçilər **TƏSİRLƏNMİR**. İstifadəçilər **TƏSİRLƏNƏ BİLƏR**, əgər metrikalar portunu etibarsız şəbəkəyə açıqlayırlarsa və `--grpc-preshared-key`-i əmr sətri flaqı vasitəsilə konfiqurasiya edirlərsə. ### Yamaqlar TODO ### Əvəzində həll yolları Bu problemi aradan qaldırmaq üçün aşağıdakılardan birini edə bilərsiniz: - Preshared açarı mühit dəyişəni vasitəsilə konfiqurasiya edin (məs. `SPICEDB_GRPC_PRESHARED_KEY=yoursecret spicedb serve`) - `--metrics-addr` flaqını etibarlı şəbəkəyə bağlamaq üçün yenidən konfiqurasiya edin (məs. `--metrics-addr=localhost:9090`) - Metrikalar xidmətini flaq vasitəsilə deaktiv edin (məs. `--metrics-enabled=false`) - Tövsiyə olunan yerləşdirmə modellərindən birini qəbul edin: [Authzed-in idarə olunan xidmətləri](https://authzed.com/pricing) və ya [SpiceDB Operator](https://github.com/authzed/spicedb-operator) ### İstinadlar - [SpiceDB üçün verilmiş GitHub Təhlükəsizlik Məsləhəti](https://github.com/authzed/spicedb/security/advisories/GHSA-cjr9-mr35-7xh6) - pprof-un internetə açıqlanmasının risklərini sənədləşdirmək üçün [Go issue #22085](https://github.com/golang/go/issues/22085) - [Go issue #42834](https://github.com/golang/go/issues/42834) pprof-un defolt serve mux-a qeydiyyatının qarşısının alınmasını müzakirə edir - [semgrep qaydası go.lang.security.audit.net.pprof.pprof-debug-exposure](https://semgrep.dev/r?q=go.lang.security.audit.net.pprof) bu problemin bir variantını yoxlayır ### Təşəkkür Bu zəifliyi məsuliyyətlə açıqladığına görə GE Vernova-da təhlükəsizlik tədqiqatçısı olan Amit Laish-a təşəkkür etmək istərdik.