CVE-2024-35189

Fides açıq mənbəli məhrumiyyət mühəndisliyi platformasıdır. Fides veb serverində `ConnectionConfiguration` qeydlərini və onlarla əlaqəli olan və həssas məlumatlar (məsələn, şifrələr, gizli açarlar və s.) ehtiva edə bilən `secrets` sahələrini əldə edən bir sıra son nöqtələr (endpoints) mövcuddur. Bu `secrets` məlumatları saxlanma zamanı şifrlənmiş şəkildə (tətbiqin verilənlər bazasında) saxlanılır və müvafiq son nöqtələrin bu həssas məlumatları API klientlərinə açıq mətn formatında təqdim etməsi nəzərdə tutulmayıb, çünki bu, təhlükəsizlik riskləri yarada bilər. Fides tərtibatçılarının istifadəsinə, konkret sirr sahəsinin API vasitəsilə üzə çıxarılmamalı olduğunu bildirmək üçün `True` olaraq qeyd edə biləcəkləri Pydantic sahə atributu (`sensitive`) mövcuddur. Tətbiqdə `sensitive` annotasiyalarından istifadə edərək həssas sahələri `"**********"` yer tutucu dəyəri ilə maskalayan daxili funksiya var. Bu zəiflik həmin funksiyadakı bir xətadan qaynaqlanır ki, bu da `secrets` obyektinin kök səviyyəsindən aşağıda *iç-içə* (nested) yerləşən `sensitive` API model sahələrinin düzgün şəkildə maskalanmasına mane olurdu. Yalnız `BigQuery` bağlantı konfiqurasiyası sirrləri bu meyarlara cavab verir: sirrlər sxemi, API-lər vasitəsilə açıq mətn şəklində üzə çıxan iç-içə yerləşmiş həssas `keyfile_creds.private_key` xüsusiyyətinə malikdir. Kök səviyyədə yerləşən və iç-içə olmayan həssas sahələri olan `BigQuery`-dən fərqli bağlantı növləri yer tutucu ilə düzgün şəkildə maskalanır və bu zəiflikdən təsirlənmir. Bu zəiflik Fides versiya 2.37.0-da aradan qaldırılıb. İstifadəçilərə sistemlərini bu təhdiddən qorumaq üçün bu versiyaya və ya daha yeni versiyaya keçid etməkləri tövsiyə olunur. Həmçinin istifadəçilərə Fides tətbiqlərində BigQuery inteqrasiyaları üçün istifadə olunan bütün Google Cloud sirrlərini yeniləmələri (rotate) tövsiyə edilir. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.