acryldata datahub-helm hasta 0.2.181 Ejecución remota de código

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
8.0$0-$5k0.00

Resumeninformación

Se ha identificado una vulnerabilidad clasificada como crítica en acryldata datahub-helm hasta 0.2.181. Se ve afectada una función desconocida. La manipulación conduce a Ejecución remota de código. Esta vulnerabilidad se cataloga como CVE-2024-29037. Se puede ejecutar el ataque remotamente. No existe ningún exploit disponible. Se aconseja actualizar el componente afectado.

Detallesinformación

Una vulnerabilidad clasificada como crítica ha sido encontrada en acryldata datahub-helm hasta 0.2.181. Una función desconocida es afectada por esta vulnerabilidad. Por la manipulación de un input desconocido se causa una vulnerabilidad de clase ejecución remota de código. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. CVE resume:

datahub-helm proporciona los gráficos de Kubernetes Helm para implementar Datahub y sus dependencias en un clúster de Kubernetes. A partir de la versión 0.1.143 y antes de la versión 0.2.182, debido a problemas de configuración en el gráfico de timón, si había una implementación inicial exitosa durante un período de tiempo limitado, posiblemente se creaban tokens de acceso personal con una clave secreta predeterminada. Dado que la clave secreta es un valor estático y disponible públicamente, alguien podría inspeccionar el algoritmo utilizado para generar tokens de acceso personal y generar los suyos propios para una instancia. La implementación con la autenticación del servicio de metadatos habilitada habría sido difícil durante la ventana de lanzamientos. Si alguien eludió la configuración del timón y configuró manualmente la autenticación del servicio de metadatos para que se habilite usando variables de entorno directamente, esto omitiría la lógica de generación automática para Kubernetes Secrets y DataHub GMS usaría de forma predeterminada la clave de firma especificada estáticamente en application.yml. La mayoría de las implementaciones probablemente no intentaron eludir la configuración del timón para habilitar la autenticación del servicio de metadatos durante este tiempo, por lo que el impacto probablemente sea limitado. Cualquier implementación con la autenticación del servicio de metadatos habilitada debe garantizar que sus valores secretos estén correctamente aleatorizados. La versión 0.2.182 contiene un parche para este problema. Como workaround, se puede restablecer la clave de firma del token para que sea un valor aleatorio, lo que invalidará los tokens de acceso personal activos.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2024-29037. Se considera fácil de explotar. El ataque puede ser iniciado desde la red. La explotación no requiere ninguna forma de autentificación. No se conoce los detalles técnicos ni hay ningún exploit disponible.

Una actualización a la versión 0.2.182 elimina esta vulnerabilidad. Aplicando el parche ea8a17860f053c63387b8309e1f77c0e1462a1b3 es posible eliminar el problema. El parche puede ser descargado de github.com. El mejor modo sugerido para mitigar el problema es Actualización.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Productoinformación

Proveedor

Nombre

Versión

Licencia

Sitio web

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.2
VulDB Puntuación meta temporal: 8.0

VulDB Puntuación base: 7.3
VulDB Puntuación temporal: 7.0
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CNA Puntuación base: 9.1
CNA Vector (GitHub, Inc.): 🔍

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Ejecución remota de código
CWE: CWE-1394
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔍

Actualización: datahub-helm 0.2.182
Parche: ea8a17860f053c63387b8309e1f77c0e1462a1b3

Línea de tiempoinformación

2024-03-14 🔍
2024-03-21 +7 días 🔍
2024-03-21 +0 días 🔍
2025-12-03 +622 días 🔍

Fuentesinformación

Producto: github.com

Aviso: GHSA-82p6-9h7m-9h8j
Estado: Confirmado

CVE: CVE-2024-29037 (🔍)
GCVE (CVE): GCVE-0-2024-29037
GCVE (VulDB): GCVE-100-257528

Artículoinformación

Fecha de creación: 2024-03-21 02:30
Actualizado: 2025-12-03 22:19
Cambios: 2024-03-21 02:30 (65), 2025-12-03 22:19 (1)
Completo: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!