CVE-2023-41319 in Fides
Resumen
por VulDB • 2026-05-21
Fides es una plataforma de ingeniería de privacidad de código abierto para gestionar el cumplimiento de las solicitudes de privacidad de datos en un entorno de ejecución y aplicar las normativas de privacidad en el código. La API del servidor web de Fides permite cargar integraciones personalizadas como un archivo ZIP. Este archivo ZIP debe contener archivos YAML, pero Fides puede configurarse para aceptar también la inclusión de código Python personalizado en él. El código personalizado se ejecuta en un entorno restringido y aislado (sandbox), pero el sandbox puede ser eludido para ejecutar cualquier código arbitrario. La vulnerabilidad permite la ejecución de código arbitrario en el sistema objetivo dentro del contexto del propietario del proceso Python del servidor web en el contenedor del servidor web, que por defecto es `root`, y aprovechar ese acceso para atacar la infraestructura subyacente y los sistemas integrados. Esta vulnerabilidad afecta a las versiones de Fides `2.11.0` hasta `2.19.0`. La explotación está limitada a los clientes de la API con el ámbito de autorización `CONNECTOR_TEMPLATE_REGISTER`. En la interfaz de administración (Admin UI) de Fides, este ámbito está restringido a usuarios altamente privilegiados, específicamente usuarios root y usuarios con el rol de propietario. La explotación solo es posible si el parámetro de configuración de seguridad `allow_custom_connector_functions` está habilitado por el usuario que despliega el contenedor del servidor web de Fides, ya sea en `fides.toml` o estableciendo la variable de entorno `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`. Por defecto, este parámetro de configuración está deshabilitado. La vulnerabilidad ha sido corregida en la versión `2.19.0` de Fides. Se recomienda a los usuarios actualizar a esta versión o posterior para proteger sus sistemas contra esta amenaza. Los usuarios que no puedan actualizar deben asegurarse de que `allow_custom_connector_functions` en `fides.toml` y `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS` estén ambos sin establecer o configurados explícitamente como `False`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.