CVE-2024-28253

Versões do OpenMetadata anteriores à 1.3.1

A vulnerabilidade está relacionada a um gerenciamento incorreto da geração de código no OpenMetadata, o que pode ser explorado para executar código arbitrário remotamente. Um invasor pode enviar uma solicitação PUT para “/api/v1/policies” para acessar o método vulnerável. A função CompiledRule::validateExpression é chamada a partir de PolicyRepository.prepare, e prepare() é chamada a partir de EntityRepository.prepareInternal(), que, por sua vez, é chamada a partir de EntityResource.createOrUpdate(). Embora exista uma verificação de autorização, ela é chamada após a avaliação da expressão SpEL, permitindo uma possível exploração. Este problema pode levar à execução remota de código e foi corrigido na versão 1.3.1.

Para versões do OpenMetadata anteriores à 1.3.1, atualize para a versão 1.3.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/v1/policies” para minimizar o risco de exploração. Além disso, restringir o uso do parâmetro condition no endpoint da API afetado pode ajudar a mitigar o risco até que um patch seja aplicado.