Vulnerabilidad en vantage6 (CVE-2023-28635)

vantage6 es una infraestructura de aprendizaje federada que preserva la privacidad. Antes de la versión 4.0.0, los usuarios malintencionados podían intentar obtener acceso a recursos que no podían ver, creando recursos con números enteros como nombres. Un ejemplo en el que esto supone un riesgo es cuando los usuarios definen qué usuarios pueden ejecutar algoritmos en su nodo. Esto puede definirse por nombre de usuario o identificación de usuario. Ahora, por ejemplo, si el ID de usuario 13 puede ejecutar tareas y un atacante crea un nombre de usuario con el nombre de usuario '13', se le permitiría ejecutar un algoritmo por error. También puede haber otros lugares en el código donde dicha combinación de ID o nombre de recurso genera problemas. La versión 4.0.0 contiene un parche para este problema. La mejor solución es comprobar, cuando se crean o modifican recursos, que el nombre del recurso siempre comience con un carácter.