Fides — это платформа разработки конфиденциальности с открытым исходным кодом для управления выполнением запросов конфиденциальности данных…
Fides — это платформа разработки конфиденциальности с открытым исходным кодом для управления выполнением запросов конфиденциальности данных в среде выполнения и обеспечения соблюдения правил конфиденциальности в коде. Веб-сервер Fides API позволяет загружать пользовательские интеграции в виде ZIP-файла. Этот ZIP-файл должен содержать YAML-файлы, но Fides можно настроить так, чтобы он также принимал включение пользовательского кода Python. Пользовательский код выполняется в ограниченной, изолированной среде, но изолированную среду можно обойти для выполнения произвольного кода. Уязвимость позволяет выполнять произвольный код в целевой системе в контексте владельца процесса python веб-сервера в контейнере веб-сервера, которым по умолчанию является `root`, и использовать этот доступ для атаки на базовую инфраструктуру и интегрированные системы. Эта уязвимость затрагивает версии Fides `2.11.0`–`2.19.0`. Эксплуатация ограничена клиентами API с областью авторизации `CONNECTOR_TEMPLATE_REGISTER`. В пользовательском интерфейсе администратора Fides эта область ограничена пользователями с высокими привилегиями, в частности, корневыми пользователями и пользователями с ролью владельца. Эксплуатация возможна только в том случае, если параметр конфигурации безопасности `allow_custom_connector_functions` включен пользователем, развертывающим контейнер веб-сервера Fides, либо в `fides.toml`, либо путем установки переменной среды `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`. По умолчанию этот параметр конфигурации отключен. Уязвимость была исправлена в версии Fides `2.19.0`. Пользователям рекомендуется обновиться до этой версии или более поздней, чтобы защитить свои системы от этой угрозы. Пользователи, которые не могут обновиться, должны убедиться, что `allow_custom_connector_functions` в `fides.toml` и `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS` либо не заданы, либо явно установлены в `False`.
Продукт формирует полностью или частично сегмент кода на основе входных данных от вышестоящего компонента, однако не нейтрализует или некорректно нейтрализует специальные элементы, способные изменить синтаксис или поведение предполагаемого сегмента кода.
https://cwe.mitre.org/data/definitions/94.html →Открыть в коллекции CWE →Данная атака эксплуатирует доверие системы к файлам конфигурации и ресурсов. Когда исполняемый файл загружает ресурс (например, файл изображения или файл конфигурации), злоумышленник модифицирует файл таким образом, чтобы либо непосредственно выполнить вредоносный код, либо манипулировать целевым процессом (например, сервером приложений), заставляя его выполнять действия на основе вредоносных параметров конфигурации. По мере того как системы всё активнее интегрируют ресурсы из локальных и удалённых источников, вероятность осуществления данной атаки возрастает.
https://capec.mitre.org/data/definitions/35.html →Открыть в коллекции CAPEC →Данная атака направлена на переменные, управляемые пользователем (DEBUG=1, PHP Globals и т. д.). Злоумышленник может переопределять переменные, используя переменные запроса, предоставляемые пользователем и применяемые непосредственно на сервере приложений без какой-либо санитизации данных. В крайних случаях злоумышленник может изменять переменные, управляющие бизнес-логикой приложения. Например, в языках наподобие PHP ряд неудачно заданных конфигураций по умолчанию может позволить пользователю переопределять переменные.
https://capec.mitre.org/data/definitions/77.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует слабость в проверке входных данных на стороне цели, чтобы внедрить новый код в выполняемый в данный момент. Этот шаблон отличается от включения кода тем, что включение кода предполагает добавление или замену ссылки на файл с кодом, который впоследствии загружается целью и используется как часть кода некоторого приложения.
https://capec.mitre.org/data/definitions/242.html →Открыть в коллекции CAPEC →