CVE-2024-29037

datahub-helm, Datahub və onun asılılıqlarını Kubernetes klasterində yerləşdirmək üçün Kubernetes Helm chart-larını təmin edir. Versiya 0.1.143-dən başlayaraq versiya 0.2.182-yə qədər olan dövrdə, helm chart-ındakı konfiqurasiya problemləri səbəbindən, məhdud zaman intervalında ilkin yerləşdirmə uğurlu olubsa, fərdi giriş tokenləri (personal access tokens) standart gizli açarla yaradılmış ola bilərdi. Gizli açar statik və açıq şəkildə əlçatan dəyər olduğu üçün kimsə fərdi giriş tokenlərini yaratmaq üçün istifadə olunan alqoritmi araşdırıb instansiya üçün öz tokenlərini yarada bilərdi. Buraxılışların həmin intervalında Metadata Service Authentication funksiyasının aktiv edilməsi ilə yerləşdirmə çətin olardı. Əgər kimsə helm parametrlərini yan keçib mühit dəyişənlərindən birbaşa istifadə edərək Metadata Service Authentication funksiyasını əllə aktiv etsəydi, bu, Kubernetes Secret-lərinin avtomatik yaradılması məntiqini ötürərdi və DataHub GMS application.yml faylında statik olaraq göstərilmiş imzalama açarını standart olaraq istifadə edərdi. Çox güman ki, əksər yerləşdirmələrdə bu müddət ərzində Metadata Service Authentication funksiyasını aktiv etmək üçün helm parametrlərini yan keçmək cəhdləri olmayıb, buna görə də təsir böyük ehtimalla məhduddur. Metadata Service Authentication funksiyası aktiv edilmiş bütün yerləşdirmələr gizli dəyərlərinin düzgün şəkildə təsadüfi olduğunu təmin etməlidir. Versiya 0.2.182 bu problem üçün yamı ehtiva edir. Alternativ həll yolu kimi, token imzalama açarı təsadüfi bir dəyərlə sıfırlana bilər ki, bu da aktiv fərdi giriş tokenlərini etibarsız edəcəkdir.