PT-2026-30019
CVE-2026-35171
·
تاريخ النشر
2026-04-03
·
تاريخ التحديث
2026-04-06
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kedro السابقة للإصدار 1.3.0
الوصف
يعد برنامج Kedro عرضة لمشكلة خطيرة تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) تنشأ عن الاستخدام غير الآمن لوظيفة
logging.config.dictConfig() مع المدخلات التي يتحكم فيها المستخدم. يسمح البرنامج بتعيين مسار ملف تكوين التسجيل من خلال متغير البيئة KEDRO LOGGING CONFIG، وتحميله دون التحقق من صحته بشكل مناسب. يدعم مخطط تكوين التسجيل مفتاحًا خاصًا هو ()، والذي يسمح بإنشاء مثيلات لوظائف قابلة للاستدعاء تعسفية. يمكن للمهاجم استغلال ذلك لتنفيذ أوامر نظام تعسفية أثناء بدء تشغيل التطبيق. يتم معالجة هذه الثغرة الأمنية من خلال تطبيق عملية التحقق لرفض مفتاح المصنع غير الآمن () في تكوينات التسجيل قبل تمريرها إلى dictConfig().التوصيات
قم بالترقية إلى إصدار Kedro 1.3.0 أو أحدث.
إذا لم يكن الترقية ممكنة على الفور:
-
لا تسمح لمدخلات غير موثوق بها بالتحكم في متغير البيئة
KEDRO LOGGING CONFIG. -
قم بتقييد حق الوصول للكتابة إلى ملفات تكوين التسجيل.
-
تجنب استخدام تكوينات التسجيل المقدمة من مصادر خارجية أو التي يتم إنشاؤها ديناميكيًا.
-
تحقق يدويًا من صحة ملف YAML الخاص بالتسجيل للتأكد من أنه لا يحتوي على المفتاح
().
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾