PT-2020-21005 · Amundsen · Amundsenfrontendlibrary
Publicado
2020-12-02
·
Atualizado
2020-12-02
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões da amundsenfrontendlibrary anteriores àquela que inclui a correção para este problema
Descrição
O problema afeta instalações nas quais
UNEDITABLE SCHEMAS e/ou UNEDITABLE TABLE DESCRIPTION MATCH RULES estão definidos no front-end. Essas propriedades são ignoradas, permitindo que qualquer usuário modifique as descrições de tabelas e colunas. O problema surge porque essas restrições são aplicadas apenas no front-end, e não no back-end. Isso pode ser explorado enviando uma solicitação PUT para o endpoint da API /api/metadata/v0/put table description com dados de descrição modificados. O número estimado de dispositivos potencialmente afetados não é fornecido.Recomendações
Para versões da amundsenfrontendlibrary anteriores à versão que inclui a correção para este problema:
Aplique o PR anexado que aplica essa restrição no back-end para resolver o problema.
Como solução alternativa temporária, considere implementar a restrição manualmente carregando a tabela, executando-a através de
marshall dashboard partial para avaliar o que é editável ou não, e rejeitando a resposta se não for editável.Restrinja o acesso ao endpoint da API
/api/metadata/v0/put table description para minimizar o risco de exploração.Evite usar as propriedades
UNEDITABLE SCHEMAS e UNEDITABLE TABLE DESCRIPTION MATCH RULES até que o problema seja resolvido. Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Amundsenfrontendlibrary