CVE-2021-43780

Redash, veri görselleştirme ve paylaşımı için kullanılan bir pakettir. 10.0 ve önceki sürümlerde; JSON, CSV veya Excel gibi URL ile yüklenen veri kaynaklarının uygulaması, gelişmiş Sunucu Taraflı İstek Sahteciliği (SSRF) yöntemlerine karşı savunmasızdır. Bu zafiyetler yalnızca URL ile yükleme yapan bir veri kaynağının etkin olduğu kurulumlarda istismar edilebilir. Yayınlanma tarihi itibarıyla, `master` ve `release/10.x.x` dalları, doğrudan requests kütüphanesi yerine http istekleri yapmak için Advocate kütüphanesini uygulayarak bu sorunu gidermiştir. Kullanıcıların bu yamayı almak için 10.0.1 sürümüne yükseltme yapmaları gerekir. Yükseltme yapmadan zafiyeti hafifletmek için birkaç geçici çözüm bulunmaktadır. Yapılandırmaya aşağıdaki ortam değişkeni eklenerek, savunmasız veri kaynakları tamamen devre dışı bırakılabilir ve böylece web uygulaması içinde erişilemez hale getirilebilir. Ayarlar > Gruplar > Veri Kaynakları ekranından, belirli türdeki herhangi bir veri kaynağı (GitHub Güvenlik Danışmanlığında görüntülenebilir), tüm gruplar için `Yalnızca Görüntüle` olarak değiştirilebilir. Güncelleme yapamayan kullanıcılar için bir yönetici, bu sorunu hafifletmek amacıyla ortam değişkenleri aracılığıyla Redash yapılandırmasını değiştirebilir. Redash sürümüne bağlı olarak, yöneticinin veritabanındaki bazı alanları yeniden şifrelemek için bir CLI komutu çalıştırması da gerekebilir. Yayınlanma tarihi itibarıyla `master` ve `release/10.x.x` dallarında `REDASH_COOKIE_SECRET` için varsayılan değer kaldırılmıştır. Gelecekteki tüm sürümler bunun açıkça ayarlanmasını gerektirecektir. Mevcut kurulumlar için `REDASH_COOKIE_SECRET` ve `REDASH_SECRET_KEY` değişkenleri için açık değerlerin ayarlandığından emin olunmalıdır.