CVE-2025-54064

Rucio, özelleştirilebilir politikalar kullanarak büyük hacimli bilimsel verileri düzenlemek, yönetmek ve bunlara erişmek için işlevsellik sağlayan bir yazılım çerçevesidir. `rucio-server`, `rucio-ui` ve `rucio-webui` için kullanılan ortak Rucio helm-charts'ları, bu bileşenlerin apache erişim günlüğü (access log) için günlük formatını tanımlamaktadır. Rucio'ya gönderilen her istek başlığının bir parçası olan `X-Rucio-Auth-Token`, bu günlük formatının bir parçasıdır. Bu nedenle, her erişim günlüğü satırı potansiyel olarak kullanıcının kimlik bilgilerini (Dahili Rucio belirteci veya OIDC kimlik doğrulaması durumunda JWT) açığa çıkarmaktadır. Belirtecin uzunluğu nedeniyle (özellikle JWT için), belirteçler genellikle kesilmektedir ve bu nedenle kimlik bilgisi olarak kullanılamamaktadır; buna rağmen, (kısmi) kimlik bilgileri günlük dosyasının bir parçası olmamalıdır. Erişim günlükleri, örnek yöneticilerinden daha geniş bir gruba sunulursa bu sorunun etkisi artmaktadır. `rucio-server`, `rucio-ui` ve `rucio-webui` helm-chart'ları için güncellenmiş bir sürüm sağlanmıştır. Değişiklik, şu anda desteklenen Rucio LTS sürümleri için de geriye dönük olarak uygulanmıştır. Yamalanmış sürümler rucio-server 37.0.2, 35.0.1 ve 32.0.1; rucio-ui 37.0.4, 35.0.1 ve 32.0.2; ve rucio-webui 37.0.2, 35.1.1 ve 32.0.1'dir. Geçici bir çözüm olarak, `logFormat` değişkeni güncellenebilir ve `X-Rucio-Auth-Token` kaldırılabilir.