CVE-2024-28847 in OpenMetadata
Riassunto
di VulDB • 26/06/2026
OpenMetadata è una piattaforma unificata per la scoperta, l'osservabilità e il governo dei dati, basata su un repository centrale di metadati, sulla tracciabilità approfondita (lineage) e sulla collaborazione fluida tra team. Similmente al problema GHSL-2023-250, `AlertUtil::validateExpression` viene chiamato anche da `EventSubscriptionRepository.prepare()`, il che può portare a Remote Code Execution (RCE). Il metodo `prepare()` è invocato da `EntityRepository.prepareInternal()`, che a sua volta viene richiamato da `EntityResource.createOrUpdate()`. Si noti che, sebbene sia presente un controllo di autorizzazione (`authorizer.authorize()`), questo avviene dopo la chiamata a `prepareInternal()` e quindi dopo che l'espressione SpEL è stata valutata. Per raggiungere tale metodo, un attaccante può inviare una richiesta PUT all'endpoint `/api/v1/events/subscriptions`, gestito da `EventSubscriptionResource.createOrUpdateEventSubscription()`. Questa vulnerabilità è stata scoperta con l'aiuto della query di CodeQL per Injection del linguaggio delle espressioni (Spring). Questo problema può portare a Remote Code Execution ed è stato risolto nella versione 1.2.4. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note contromisure temporanee (workaround) per questa vulnerabilità. Il problema è inoltre tracciato come `GHSL-2023-251`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.