CVE-2022-39366
Açıklama
DataHub açık kaynaklı bir meta veri platformudur. Versiyon 0.8.45 öncesinde, DataHub meta veri servisinin (GMS) `StatelessTokenService` bileşeni JWT belirteçlerinin imzasını doğrulamamaktadır. Bu durum, Meta Veri Servisi kimlik doğrulaması etkinse, bir saldırganın herhangi bir kullanıcı olarak DataHub örneklerine bağlanmasına olanak tanır. Bu güvenlik açığı, Meta veri servisinin `StatelessTokenService` bileşeninin, kriptografik belirteç imzası doğrulaması yapmayan `io.jsonwebtoken.JwtParser` sınıfının `parse` metodunu kullanmasından kaynaklanmaktadır. Bu, kullanılan algoritmaya bakılmaksızın JWT'lerin kabul edildiği anlamına gelir. Bu sorun bir kimlik doğrulama atlatmaya yol açabilir. Versiyon 0.8.45 bu sorun için bir yama içermektedir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- datahub datahub0.8.45 ya da sonraki bir sürüm
- acryl-datahub0.8.45 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| datahub datahub | v < 0.8.45 | 0.8.45 |
| acryl-datahubPyPI | v < 0.8.45 | 0.8.45 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.