CVE-2023-29193

SpiceDB, güvenlik açısından kritik uygulama izinleri oluşturmak ve yönetmek için Google Zanzibar'dan esinlenilmiş açık kaynak bir veritabanı sistemidir. `spicedb serve` komutu, gRPC API'sinin yetkisiz istekler tarafından erişilmesini önlemek için kullanılan `--grpc-preshared-key` adlı bir bayrak içerir. Bu bayrağın değerleri hassas, gizli veri olarak kabul edilmelidir. Metrik hizmeti tarafından sunulan `/debug/pprof/cmdline` uç noktası (varsayılan olarak `9090` portunda çalışır) hata ayıklama amacıyla sağlanan komut satırı bayraklarını açığa çıkarır. `--grpc-preshared-key` aracılığıyla bir parola ayarlanmışsa, anahtar bu uç nokta tarafından SpiceDB ikilisine sağlanan diğer bayraklarla birlikte açığa çıkarılır. Bu sorun 1.19.1 sürümünde düzeltilmiştir. ### Etki Üretim kullanımı için önerilen en iyi uygulamalara uyan tüm dağıtımlar **ETKİLENMEZ**: - Authzed'in SpiceDB Serverless - Authzed'in SpiceDB Dedicated - SpiceDB Operator SpiceDB'yi ortam değişkenleri aracılığıyla yapılandıran kullanıcılar **ETKİLENMEZ**. Metrik portlarını güvenilmeyen bir ağa açığa çıkaran ve `--grpc-preshared-key` değerini komut satırı bayrağı aracılığıyla yapılandıran kullanıcılar **ETKİLENEBİLİR**. ### Yamalar TODO ### Geçici Çözümler Bu sorunu geçici olarak çözmek için aşağıdakilerden birini yapabilirsiniz: - Önceden paylaşılan anahtarı bir ortam değişkeni aracılığıyla yapılandırın (ör. `SPICEDB_GRPC_PRESHARED_KEY=yoursecret spicedb serve`) - `--metrics-addr` bayrağını güvenilir bir ağa bağlanacak şekilde yeniden yapılandırın (ör. `--metrics-addr=localhost:9090`) - Metrik hizmetini bayrak aracılığıyla devre dışı bırakın (ör. `--metrics-enabled=false`) - Önerilen dağıtım modellerinden birini benimseyin: [Authzed'in yönetilen hizmetleri](https://authzed.com/pricing) veya [SpiceDB Operator](https://github.com/authzed/spicedb-operator) ### Referanslar - [SpiceDB için yayımlanan GitHub Güvenlik Danışma Belgesi](https://github.com/authzed/spicedb/security/advisories/GHSA-cjr9-mr35-7xh6) - pprof'un internete açığa çıkarılmasının risklerini belgeleyen [Go sorunu #22085](https://github.com/golang/go/issues/22085) - pprof'un varsayılan serve mux'a kaydedilmesinin önlenmesini tartışan [Go sorunu #42834](https://github.com/golang/go/issues/42834) - Bu sorunun bir varyasyonunu denetleyen [semgrep kuralı go.lang.security.audit.net.pprof.pprof-debug-exposure](https://semgrep.dev/r?q=go.lang.security.audit.net.pprof) ### Teşekkür Bu güvenlik açığını sorumlu bir şekilde açıkladığı için GE Vernova'da güvenlik araştırmacısı olan Amit Laish'e teşekkür ederiz.