Vulnerabilidad en Fides (CVE-2024-35189)

Fides es una plataforma de ingeniería de privacidad de código abierto. El servidor web de Fides tiene una serie de endpoints que recuperan registros de "Configuración de conexión" y sus "secretos" asociados que _pueden_ contener datos confidenciales (por ejemplo, contraseñas, claves privadas, etc.). Estos "secretos" se almacenan cifrados en reposo (en la base de datos de la aplicación) y los endpoints asociados no están destinados a exponer esos datos confidenciales en texto sin formato a los clientes API, ya que podrían ser comprometedores. Los desarrolladores de Fides tienen a su disposición un atributo de campo Pydantic ("sensible") que pueden anotar como "Verdadero" para indicar que un campo secreto determinado no debe exponerse a través de la API. La aplicación tiene una función interna que utiliza anotaciones "sensibles" para enmascarar los campos sensibles con un valor de marcador de posición "**********". Esta vulnerabilidad se debe a un error en esa función, que impedía que los campos del modelo API "sensibles" que estaban _anidados_ debajo del nivel raíz de un objeto "secreto" se enmascararan adecuadamente. Solo los secretos de configuración de conexión de "BigQuery" cumplen estos criterios: el esquema de secretos tiene una propiedad sensible anidada "keyfile_creds.private_key" que se expone en texto sin formato a través de las API. Los tipos de conexión distintos de "BigQuery" con campos confidenciales en el nivel raíz que no están anidados se enmascaran correctamente con el marcador de posición y no se ven afectados por esta vulnerabilidad. Esta vulnerabilidad ha sido parcheada en la versión 2.37.0 de Fides. Se recomienda a los usuarios que actualicen a esta versión o posterior para proteger sus sistemas contra esta amenaza. También se recomienda a los usuarios que roten los secretos de Google Cloud utilizados para las integraciones de BigQuery en sus implementaciones de Fides. No se conocen workarounds para esta vulnerabilidad.