CVE-2023-32321

CKAN, veri merkezlerini ve veri portallarını destekleyen açık kaynaklı bir veri yönetim sistemidir. CKAN'de uzaktan kod çalıştırmaya yol açabilecek birden fazla güvenlik açığı keşfedilmiştir. `ResourceUploader` nesnesi kullanılarak `resource_create` ve `package_update` eylemlerinde rastgele dosya yazımı gerçekleştirilebilir. Bu durum ayrıca `package_update` çağrıları aracılığıyla `package_create`, `package_revise` ve `package_patch` üzerinden de erişilebilirdir. Dosya oturum deposu arka ucunu kullanacak şekilde yapılandırıldığında, Beaker'ın oturum deposu üzerinden güvenli olmayan pickle yüklemesi ile uzaktan kod çalıştırma mümkündür. Kaynak kimliği (resource id) üzerinde uzunluk kontrolü eksikliği nedeniyle potansiyel hizmet reddi (DOS) oluşabilir. Bilgi ifşası: Kaynak oluşturma iznine sahip bir kullanıcı, erişimi olmasa bile kimliğini bildiği sistemdeki herhangi bir diğer kaynağa erişebilir. Kaynak üzerine yazma: Kaynak oluşturma iznine sahip bir kullanıcı, erişimi olmasa bile kimliğini bildiği herhangi bir kaynağın üzerine yazabilir. Bir veri kümesi oluşturma veya düzenleme izinlerine sahip olan bir kullanıcı, yüklenen dosyayı rastgele bir konuma yazmak için özel olarak hazırlanmış bir kimliğe sahip bir kaynak yükleyebilir. Bu durum, Beaker'ın güvensiz pickle yüklemesi yoluyla Uzaktan Kod Çalıştırma için kullanılabilir. Yukarıda listelenen tüm güvenlik açıkları CKAN 2.9.9 ve CKAN 2.10.1 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu sorunlar için bilinen bir geçici çözüm yoktur.