Dor Konis

O Envoy é um proxy de borda/intermediário/serviço de alto desempenho. O filtro RBAC (Controle de Acesso Baseado em Funções) do Envoy possui um problema de lógica na forma como valida cabeçalhos HTTP quando múltiplos valores estão presentes para o mesmo nome de cabeçalho. Em vez de validar cada valor de cabeçalho individualmente, o Envoy concatena todos os valores em uma única string separada por vírgulas. Isso permite que atacantes contornem políticas de RBAC—especificamente regras de "Deny" (Negar)—enviando cabeçalhos duplicados, ocultando o valor malicioso dos mecanismos de correspondência exata. A vulnerabilidade afeta a validação de cabeçalhos usados em políticas de RBAC.

O problema está relacionado ao uso de uma chave criptográfica padrão no gráfico Helm para a implantação do Datahub em um cluster do Kubernetes. Se houve uma implantação inicial bem-sucedida durante um intervalo de tempo limitado, é possível que tokens de acesso pessoais tenham sido criados com uma chave secreta padrão. Como a chave secreta é um valor estático e publicamente disponível, alguém poderia inspecionar o algoritmo usado para gerar tokens de acesso pessoais e gerar os seus próprios para uma instância. A implantação com a autenticação do serviço de metadados ativada teria sido difícil durante o período das versões. A maioria das implantações provavelmente não tentou contornar as configurações do Helm para ativar a autenticação do serviço de metadados durante esse período, portanto, o impacto provavelmente é limitado. Quaisquer implantações com a autenticação do serviço de metadados ativada devem garantir que seus valores secretos sejam devidamente aleatorizados.

Um invasor autenticado pode provocar um consumo descontrolado de recursos ao enviar um arquivo ZIP malicioso para importar bancos de dados, painéis ou conjuntos de dados.

Uncontrolled resource consumption can be triggered by an authenticated attacker that uploads a malicious ZIP to import database, dashboards, or datasets.