Vulnerabilidad en SpiceDB (CVE-2023-35930)

SpiceDB es un sistema de base de datos de código abierto, inspirado en Google Zanzibar, para crear y gestionar permisos de aplicaciones críticos para la seguridad. Cualquier usuario que tome una decisión de autorización negativa basada en los resultados de una solicitud "LookupResources" con la versión 1.22.0 se ve afectado. Por ejemplo, si se utiliza "LookupResources" para buscar una lista de recursos a los que permitir el acceso, no pasa nada: algunos sujetos que deberían tener acceso a un recurso pueden no tenerlo. Pero si en cambio se utiliza "LookupResources" para encontrar una lista de recursos prohibidos, entonces algunos usuarios que no deberían tener acceso podrían tenerlo. En general, "LookupResources" no sirve ni deberia servir para bloquear el acceso de esta forma: para eso está la API "Check". Además, la versión 1.22.0 ha incluido una advertencia sobre este error desde su lanzamiento inicial. Se recomienda a los usuarios que actualicen a la versión 1.22.2. Los usuarios que no puedan actualizarse deberían evitar el uso de "LookupResources" para decisiones de autorización negativas.