Обнаружена уязвимость в платформе «Airbyte»

На платформе «Airbyte», автоматизирующей интеграцию данных между базами данных и облачными сервисами, была выявлена уязвимость. Сообщается, что уже зафиксированы случаи её эксплуатации.

По информации портала уязвимостей JVN, уязвимость обнаружена в компоненте «Connector Builder», который используется для создания коннекторов для подключения к внешним сервисам.

В GitHub опубликовано уведомление о безопасности, отслеживаемое под идентификатором «GHSA-g35w-6r6v-h4r7». Номер CVE пока не установлен.

Данная уязвимость связана с обработкой загрузки классов Python, включённых в настройки подключения. Из-за поддельных данных конфигурации существует риск вызова неожиданных программ внутри контейнера сервер-манефеста.

В версии «2.x» для эксплуатации требуется наличие прав просмотра рабочего пространства или организации, однако существует риск выполнения произвольного кода. Кроме того, для старой версии «Airbyte 1.x», развернутой с помощью «Helm Chart», при доступе через сеть возможна эксплуатация без аутентификации.