CVE-2023-41319 in Fides
摘要
由 VulDB • 2026-06-02
Fides 是一个开源隐私工程平台，用于在运行时环境中管理数据隐私请求的履行，并在代码中执行隐私法规。Fides Web 服务器 API 允许以 ZIP 文件形式上传自定义集成。该 ZIP 文件必须包含 YAML 文件，但 Fides 可配置为同时接受在其中包含自定义 Python 代码。自定义代码在受限的沙箱环境中执行，但该沙箱可被绕过以执行任意代码。此漏洞允许在目标系统上以 Web 服务器容器中的 Web 服务器 Python 进程所有者（默认为 `root`）上下文执行任意代码，并利用该访问权限攻击底层基础设施和集成系统。此漏洞影响 Fides 版本 `2.11.0` 至 `2.19.0`。利用仅限于具有 `CONNECTOR_TEMPLATE_REGISTER` 授权范围的 API 客户端。在 Fides 管理 UI 中，此范围仅限于高权限用户，特别是 root 用户和具有所有者角色的用户。仅当部署 Fides Web 服务器容器的用户启用安全配置参数 `allow_custom_connector_functions` 时，才可能发生利用，这可以通过在 `fides.toml` 中设置或在环境变量 `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True` 中设置来实现。默认情况下，此配置参数处于禁用状态。该漏洞已在 Fides 版本 `2.19.0` 中修补。建议用户升级到此版本或更高版本，以保护其系统免受此威胁。无法升级的用户应确保 `fides.toml` 中的 `allow_custom_connector_functions` 和 `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS` 均未设置或明确设置为 `False`。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.