CVE-2023-41319 in Fides
Sumário
de VulDB • 09/05/2026
Fides é uma plataforma de engenharia de privacidade de código aberto para gerenciar o cumprimento de solicitações de privacidade de dados em um ambiente de execução e a aplicação de regulamentações de privacidade no código. A API do servidor web do Fides permite que integrações personalizadas sejam carregadas como um arquivo ZIP. Este arquivo ZIP deve conter arquivos YAML, mas o Fides pode ser configurado para também aceitar a inclusão de código Python personalizado nele. O código personalizado é executado em um ambiente restrito e isolado (sandbox), mas a sandbox pode ser contornada para executar qualquer código arbitrário. A vulnerabilidade permite a execução de código arbitrário no sistema de destino no contexto do proprietário do processo Python do servidor web no contêiner do servidor web, que por padrão é `root`, e aproveitar esse acesso para atacar a infraestrutura subjacente e os sistemas integrados. Esta vulnerabilidade afeta as versões do Fides `2.11.0` até `2.19.0`. A exploração é limitada aos clientes da API com o escopo de autorização `CONNECTOR_TEMPLATE_REGISTER`. Na interface de administração do Fides, este escopo é restrito a usuários altamente privilegiados, especificamente usuários root e usuários com a função de proprietário. A exploração só é possível se o parâmetro de configuração de segurança `allow_custom_connector_functions` estiver habilitado pelo usuário que implanta o contêiner do servidor web do Fides, seja em `fides.toml` ou definindo a variável de ambiente `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`. Por padrão, este parâmetro de configuração está desabilitado. A vulnerabilidade foi corrigida na versão do Fides `2.19.0`. Recomenda-se que os usuários atualizem para esta versão ou posterior para proteger seus sistemas contra essa ameaça. Usuários incapazes de atualizar devem garantir que `allow_custom_connector_functions` em `fides.toml` e `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS` estejam ambos não definidos ou explicitamente definidos como `False`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.