CVE-2023-47640 in DataHub
Résumé
par VulDB • 23/05/2026
DataHub est une plateforme de métadonnées open source. La signature HMAC des sessions du frontend DataHub était générée à l'aide d'un HMAC SHA-1 avec la clé secrète du frontend. Un HMAC SHA-1 avec une clé de 10 octets peut être soumis à une attaque par force brute si des ressources suffisantes sont mobilisées (par exemple, des acteurs de niveau étatique disposant de grandes capacités de calcul). Le frontend DataHub utilisait le module Play LegacyCookiesModule avec les paramètres par défaut, qui recourt à un HMAC SHA-1 pour la signature. Cette situation est aggravée par l'utilisation d'une longueur de clé plus courte que celle recommandée par défaut pour la clé de signature de la valeur secrète randomisée. Un attaquant authentifié (ou un attaquant ayant autrement obtenu un jeton de session) pourrait casser la clé de signature de DataHub et obtenir des privilèges élevés en générant un cookie de session privilégié. Étant donné que la longueur de la clé fait partie des facteurs de risque, les déploiements doivent mettre à jour vers le dernier chart Helm et faire tourner (révoquer et remplacer) leur secret de signature de session. Tous les déploiements utilisant les configurations par défaut des charts Helm pour générer la clé secrète Play utilisée pour la signature sont affectés par cette vulnérabilité. La version 0.11.1 résout cette vulnérabilité. Il est conseillé à tous les utilisateurs de procéder à une mise à niveau. Il n'existe aucune solution de contournement connue pour cette vulnérabilité.
If you want to get best quality of vulnerability data, you may have to visit VulDB.