CVE-2024-43371

CKAN, veri merkezlerini ve veri portallarını destekleyen açık kaynaklı bir veri yönetim sistemidir. İçerikleriyle bazı işlemler gerçekleştirmek amacıyla (örneğin DataStore'a aktarma, içerikleri akışla iletme veya yerel bir kopya kaydetme) yerel veya uzak dosyaların içeriklerini indirerek çalışan XLoader, DataPusher, Resource proxy ve ckanext-archiver dahil olmak üzere birçok CKAN eklentisi bulunmaktadır. Bunların tamamı kaynak URL'sini kullanır ve şu anda hangi URL'lerin talep edilebileceğini sınırlayan herhangi bir kontrol bulunmamaktadır. Bu durum, kötü niyetli (veya farkında olmayan) bir kullanıcının, önceki araçlardan birinin geri alabilmesi için erişmemesi gereken bir yere işaret eden bir URL ile kaynak oluşturabileceği anlamına gelir (Server Side Request Forgery olarak bilinir). Bu tür saldırılara karşı korunmak isteyen kullanıcılar aşağıdaki yaklaşımlardan birini veya birkaçının kombinasyonunu kullanabilir: (1) İhtiyaç duyulduğunda IP'lere, alan adlarına vb. izin vermek veya yasaklamak için kullanılabilen Squid gibi ayrı bir HTTP proxy kullanmak ve ckan.download_proxy yapılandırma seçeneği aracılığıyla CKAN uzantılarının bu ayardan haberdar olmasını sağlamak. (2) Kısıtlanmış kaynaklara erişimi önlemek için özel güvenlik duvarı kuralları uygulamak. (3) Belirli alan adlarını veya IP'leri engellemek/izin vermek için kaynak url alanında özel doğrulayıcılar kullanmak. Yukarıda listelenen eklentilerin tüm güncel sürümleri ckan.download_proxy ayarlarını desteklemektedir. Resource Proxy eklentisindeki bu ayar desteği CKAN 2.10.5 ve 2.11.0 sürümlerine eklenmiştir.