CVE-2023-41319 in Fides
要約
〜によって VulDB • 2026年06月02日
Fidesは、ランタイム環境におけるデータプライバシーリクエストの履行管理およびコード内でのプライバシー規制の適用を行うためのオープンソースのプライバシーエンジニアリングプラットフォームです。FidesのWebサーバーAPIでは、ZIPファイルとしてカスタムインテグレーションをアップロードすることができます。このZIPファイルにはYAMLファイルが含まれている必要がありますが、FidesはZIPファイル内にカスタムPythonコードを含めることも許可するように構成可能です。カスタムコードは制限されたサンドボックス環境で実行されますが、このサンドボックスを回避して任意のコードを実行することができます。この脆弱性により、ターゲットシステム上でWebサーバーコンテナ内のWebサーバーPythonプロセスの所有者（デフォルトでは`root`）のコンテキスト内で任意のコードを実行でき、そのアクセス権限を利用して基盤インフラストラクチャや統合システムを攻撃することが可能になります。この脆弱性は、Fidesのバージョン`2.11.0`から`2.19.0`に影響します。悪用は、`CONNECTOR_TEMPLATE_REGISTER`の認可スコープを持つAPIクライアントに限定されます。Fidesの管理UIでは、このスコープは高度な権限を持つユーザー、具体的にはrootユーザーおよびownerロールを持つユーザーに制限されています。悪用は、Fides Webサーバーコンテナをデプロイするユーザーがセキュリティ構成パラメータ`allow_custom_connector_functions`を`fides.toml`で有効にするか、環境変数`FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`を設定して有効にした場合にのみ可能です。デフォルトでは、この構成パラメータは無効になっています。この脆弱性はFidesバージョン`2.19.0`で修正されています。ユーザーは、このバージョン以降にアップグレードしてシステムをこの脅威から保護することをお勧めします。アップグレードが不可能なユーザーは、`fides.toml`内の`allow_custom_connector_functions`および`FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS`の両方が未設定または明示的に`False`に設定されていることを確認してください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.