CVE-2024-29037

datahub-helm, Datahub ve bağımlılıklarının bir Kubernetes kümesine dağıtılması için Kubernetes Helm grafiklerini sağlar. Versiyon 0.1.143'ten başlayarak versiyon 0.2.182 öncesine kadar, helm grafiğindeki yapılandırma sorunları nedeniyle, sınırlı bir zaman diliminde başarılı bir ilk dağıtım gerçekleşmişse, kişisel erişim jetonları muhtemelen varsayılan bir gizli anahtar ile oluşturulmuştur. Gizli anahtar statik ve herkese açık bir değer olduğundan, bir kişi kişisel erişim jetonlarını oluşturmak için kullanılan algoritmayı inceleyebilir ve bir örnek için kendi jetonlarını oluşturabilir. Sürümlerin bu penceresi sırasında Metadata Service Authentication etkinleştirilerek dağıtım yapmak zor olacaktı. Eğer birisi helm ayarlarını devre dışı bırakıp ortam değişkenlerini doğrudan kullanarak Metadata Service Authentication özelliğini manuel olarak etkinleştirirse, bu durum Kubernetes Secret'ları için otomatik oluşturma mantığını atlayacak ve DataHub GMS, application.yml dosyasında statik olarak belirtilen imzalama anahtarını varsayılan olarak kullanacaktır. Bu süre zarfında çoğu dağıtımda Metadata Service Authentication özelliğini etkinleştirmek için helm ayarlarını devre dışı bırakma girişimi yapılmadığından, etkisinin büyük olasılıkla sınırlı olduğu düşünülmektedir. Metadata Service Authentication özelliği etkin olan tüm dağıtımlar, gizli değerlerinin uygun şekilde rastgele hale getirildiğinden emin olmalıdır. Versiyon 0.2.182 bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, aktif kişisel erişim jetonlarını geçersiz kılacak şekilde jeton imzalama anahtarı rastgele bir değerle sıfırlanabilir.