CVE-2024-35189

Fides, açık kaynaklı bir gizlilik mühendisliği platformudur. Fides web sunucusu, hassas veriler (örneğin parolalar, özel anahtarlar vb.) içerebilen `ConnectionConfiguration` kayıtlarını ve bunlarla ilişkili `secrets` bilgilerini getiren bir dizi uç noktaya sahiptir. Bu `secrets` bilgileri durağan halde şifrelenmiş olarak (uygulama veri tabanında) saklanır ve ilgili uç noktaların, risk oluşturabileceği için bu hassas verileri API istemcilerine düz metin olarak sunması amaçlanmamıştır. Fides geliştiricilerinin, belirli bir gizli alanın API üzerinden ifşa edilmemesi gerektiğini belirtmek için `True` olarak işaretleyebilecekleri bir Pydantic alan özniteliği (`sensitive`) mevcuttur. Uygulamanın, hassas alanları `"**********"` yer tutucu değeriyle maskelemek için `sensitive` açıklamalarını kullanan dahili bir işlevi vardır. Bu güvenlik açığı, söz konusu işlevdeki bir hatadan kaynaklanmaktadır; bu hata, bir `secrets` nesnesinin kök düzeyinin altında *iç içe geçmiş* olan `sensitive` API model alanlarının uygun şekilde maskelenmesini engellemiştir. Yalnızca `BigQuery` bağlantı yapılandırması sırları bu kriterleri karşılamaktadır: sırlar şeması, API'ler aracılığıyla düz metin olarak ifşa edilen iç içe geçmiş hassas bir `keyfile_creds.private_key` özelliğine sahiptir. Kök düzeyde bulunan ve iç içe geçmemiş hassas alanlara sahip `BigQuery` dışındaki bağlantı türleri, yer tutucu ile düzgün şekilde maskelenmektedir ve bu güvenlik açığından etkilenmemektedir. Bu güvenlik açığı Fides sürüm 2.37.0'da giderilmiştir. Kullanıcıların, sistemlerini bu tehdide karşı korumak için bu sürüme veya daha yeni bir sürüme yükseltmeleri önerilir. Ayrıca kullanıcılara, Fides dağıtımlarında BigQuery entegrasyonları için kullanılan tüm Google Cloud sırlarını döndürmeleri tavsiye edilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.