CVE-2023-32321

CKAN məlumat mərkəzləri və məlumat portallarını dəstəkləmək üçün açıq mənbəli məlumat idarəetmə sistemidir. Ckan-da uzaqdan kodun icrasına səbəb ola biləcək çox sayda zəiflik aşkar edilmişdir. `ResourceUploader` obyekti vasitəsilə `resource_create` və `package_update` hərəkətlərində ixtiyari fayl yazılması mümkündür. Bu, həmçinin `package_update` çağırışları vasitəsilə `package_create`, `package_revise` və `package_patch` funksiyaları ilə də əlçatandır. Fayl sessiya anbarı (file session store backend) konfiqurasiyasında, Beaker-in sessiya anbarı vasitəsilə təhlükəsiz olmayan pickle yükləməsi nəticəsində uzaqdan kodun icrası baş verə bilər. Resurs ID-sinin uzunluğunun yoxlanılmaması səbəbindən potensial DOS riski mövcuddur. Məlumat sızması: resurs yaratmaq icazəsi olan istifadəçi, hətta giriş hüququ olmasa belə, ID-ni bildiyi təqdirdə sistemdəki hər hansı digər resursa daxil ola bilər. Resursun üzərinə yazma: resurs yaratmaq icazəsi olan istifadəçi, hətta giriş hüququ olmasa belə, ID-ni bildiyi təqdirdə hər hansı resursu yeniləyə (overwrite) bilər. Dataset yaratmaq və ya redaktə etmək icazəsi olan istifadəçi, yüklənmiş faylı ixtiyari məkana yazmaq üçün xüsusi hazırlanmış ID ilə resurs yükləyə bilər. Bundan Beaker-in təhlükəsiz olmayan pickle yükləməsi vasitəsilə Uzaqdan Kodun İcrası üçün istifadə edilə bilər. Yuxarıda sadalanan bütün zəifliklər CKAN 2.9.9 və CKAN 2.10.1 versiyalarında aradan qaldırılmışdır. İstifadəçilərə versiyanı yüksəltməkləri tövsiyə olunur. Bu problemlər üçün məlum alternativ həll yolları yoxdur.