H1Ei1

**Nome do Software Vulnerável e Versões Afetadas** Apache DolphinScheduler versões 3.2.0 até 3.4.2 **Description** Uma falha de autorização permite que usuários autenticados não administradores recuperem dados de configuração do Kubernetes destinados à configuração de cluster gerenciada por administradores. Os dados de kubeconfig expostos contêm credenciais que podem permitir que os usuários se autentiquem diretamente na API do Kubernetes fora da aplicação. Dependendo das permissões das credenciais divulgadas, como acesso de cluster-admin ou de conta de serviço privilegiada, um invasor pode ler Secrets do Kubernetes, criar pods e estabelecer acesso persistente ao cluster. **Recommendations** Atualizar para a versão 3.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Apache DolphinScheduler versões anteriores a 3.4.3 **Description** Uma falha de bypass de autorização permite que usuários autenticados modifiquem definições de tarefas em projetos aos quais não têm acesso autorizado. O problema ocorre no endpoint '/dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream', que falha ao verificar se a definição de tarefa identificada por `code` pertence ao projeto especificado por `projectCode`. Um invasor pode fornecer um `projectCode` ao qual tem acesso junto com um `code` de outro projeto para ignorar as restrições e modificar a definição da tarefa alvo e suas dependências upstream. Aproximadamente 152.700 instâncias foram identificadas globalmente. Esta falha pode comprometer a integridade do fluxo de trabalho e interromper a execução de tarefas. **Recommendations** Atualizar para a versão 3.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Apache DolphinScheduler versões anteriores a 3.4.3 **Description** Uma falha de bypass de autorização permite que usuários autenticados operem instâncias de tarefas em projetos aos quais não têm acesso autorizado. Isso ocorre por meio dos seguintes endpoints de API: - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop' - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/savepoint' **Recommendations** Atualize para a versão 3.4.3.

**Nome do Software Vulnerável e Versões Afetadas** Apache NiFi versões 2.9.0 through 2.11.0 **Description** Os métodos de API REST de atualização e verificação de configuração do Connector não aplicam verificações de autorização em Assets e Secrets referenciados. Enquanto a autorização do framework é limitada a privilégios de escrita no Connector, um usuário autenticado com esses privilégios poderia aplicar valores de Secret de um Parameter Provider que ele não tem autorização para ler. Além disso, esses métodos aceitam identificadores de Asset sem verificar se o Asset pertence ao Connector que está sendo configurado. Este problema afeta instalações que implementam diferentes níveis de autorização entre Connectors e Parameter Providers. **Recommendations** Atualizar para a versão 2.12.0.