DataHub — это платформа метаданных с открытым исходным кодом. Интерфейс DataHub действует как прокси-сервер, способный пересылать любые зап…

DataHub — это платформа метаданных с открытым исходным кодом. Интерфейс DataHub действует как прокси-сервер, способный пересылать любые запросы REST или GraphQL на серверную часть. Цель этого прокси-сервера — выполнить аутентификацию, если это необходимо, и переслать HTTP-запросы в хранилище метаданных DataHub (GMS). Было обнаружено, что прокси-сервер неадекватно конструирует URL-адрес при пересылке данных в GMS, что позволяет внешним пользователям перенаправлять запросы из интерфейса DataHub на любые произвольные хосты. В результате злоумышленники могут перенаправить запрос, исходящий от интерфейсного прокси-сервера, на любой другой сервер и вернуть результат. Эта уязвимость была обнаружена и сообщена лабораторией безопасности GitHub и отслеживается как GHSL-2022-076.