CVE-2023-41319 in Fides
요약
\~에 의해 VulDB • 2026. 05. 09.
Fides는 런타임 환경에서 데이터 프라이버시 요청의 이행을 관리하고 코드에서 프라이버시 규정을 시행하기 위한 오픈소스 프라이버시 엔지니어링 플랫폼입니다. Fides 웹서버 API는 ZIP 파일로 사용자 정의 통합을 업로드할 수 있도록 합니다. 이 ZIP 파일에는 YAML 파일이 포함되어야 하지만, Fides는 여기에 사용자 정의 Python 코드를 포함하는 것도 허용하도록 구성할 수 있습니다. 사용자 정의 코드는 제한된 샌드박스 환경에서 실행되지만, 샌드박스를 우회하여 임의의 코드를 실행할 수 있습니다. 이 취약점으로 인해 웹서버 컨테이너의 웹서버 Python 프로세스 소유자 컨텍스트 내에서 대상 시스템에서 임의의 코드가 실행될 수 있으며, 기본적으로 `root`인 이 접근 권한을 활용하여 기반 인프라 및 통합 시스템을 공격할 수 있습니다. 이 취약점은 Fides 버전 `2.11.0`부터 `2.19.0`까지 영향을 미칩니다. 악용은 `CONNECTOR_TEMPLATE_REGISTER` 권한 범위를 가진 API 클라이언트에 한정됩니다. Fides Admin UI에서 이 권한 범위는 루트 사용자와 소유자 역할을 가진 사용자를 포함한 고권한 사용자에게만 제한됩니다. 악용은 Fides 웹서버 컨테이너를 배포한 사용자가 보안 구성 매개변수 `allow_custom_connector_functions`를 `fides.toml`에서 또는 환경 변수 `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`를 설정하여 활성화한 경우에만 가능합니다. 기본적으로 이 구성 매개변수는 비활성화되어 있습니다. 이 취약점은 Fides 버전 `2.19.0`에서 패치되었습니다. 사용자는 이 버전 이상으로 업그레이드하여 시스템을 이 위협으로부터 보호하도록 권장됩니다. 업그레이드가 불가능한 사용자는 `fides.toml`의 `allow_custom_connector_functions`와 `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS`가 모두 설정되지 않았거나 명시적으로 `False`로 설정되어 있는지 확인해야 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.