Airbyte vertoont kwetsbaarheid, misbruik bevestigd

pastel spheres on gradient background — Milad Fakurian / Unsplash

Een kwetsbaarheid is ontdekt in het datakoppelingplatform Airbyte, dat de automatisering van gegevensintegratie tussen databases en cloudservices mogelijk maakt. Het is bevestigd dat deze kwetsbaarheid al is misbruikt.

Volgens de kwetsbaarheidsinformatieportal JVN is de kwetsbaarheid te vinden in de component ‘Connector Builder’, die wordt gebruikt voor het maken van connectors voor gegevensverbindingen met externe diensten.

Een beveiligingsadvies is gepubliceerd op GitHub en wordt gevolgd onder de identificatie ‘GHSA-g35w-6r6v-h4r7’. Het CVE-nummer is onbekend.

De kwetsbaarheid is het gevolg van de verwerking van de Python-klasse die is opgenomen in de verbindingsinstellingen. Door gemanipuleerde configuratiegegevens kan een onverwacht programma in de manifestservercontainer worden aangeroepen.

In de versie 2.x van Airbyte zijn werkruimte- of organisatierechten vereist voor misbruik, maar er bestaat een risico dat willekeurige code kan worden uitgevoerd. Voor oudere versies, zoals de ‘Helm Chart’ die is gedeponeerd in Airbyte 1.x, kan misbruik plaatsvinden zonder authenticatie als deze toegankelijk is via het netwerk.