Vulnerabilidad en Fides (CVE-2023-41319)

Fides es una plataforma de ingeniería de privacidad de código abierto para gestionar el cumplimiento de solicitudes de privacidad de datos en un entorno de ejecución y la aplicación de regulaciones de privacidad en código. La API del servidor web de Fides permite cargar integraciones personalizadas como un archivo ZIP. Este archivo ZIP debe contener archivos YAML, pero Fides se puede configurar para que también acepte la inclusión de código Python personalizado. El código personalizado se ejecuta en un entorno restringido y aislado, pero el entorno aislado se puede omitir para ejecutar cualquier código arbitrario. La vulnerabilidad permite la ejecución de código arbitrario en el sistema de destino dentro del contexto del propietario del proceso Python del servidor web en el contenedor del servidor web, que de forma predeterminada es "root", y aprovecha ese acceso para atacar la infraestructura subyacente y los sistemas integrados. Esta vulnerabilidad afecta a las versiones de Fides `2.11.0` hasta la `2.19.0`. La explotación está limitada a clientes API con el alcance de autorización `CONNECTOR_TEMPLATE_REGISTER`. En la interfaz de usuario de administración de Fides, este alcance está restringido a usuarios con privilegios elevados, específicamente usuarios root y usuarios con rol de propietario. La explotación solo es posible si el parámetro de configuración de seguridad `allow_custom_connector_functions` está habilitado por el usuario que implementa el contenedor del servidor web Fides, ya sea en `fides.toml` o estableciendo la variable env `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS=True`. Por defecto este parámetro de configuración está deshabilitado. La vulnerabilidad ha sido parcheada en la versión `2.19.0` de Fides. Se recomienda a los usuarios que actualicen a esta versión o posterior para proteger sus sistemas contra esta amenaza. Los usuarios que no puedan actualizar deben asegurarse de que `allow_custom_connector_functions` en `fides.toml` y `FIDES__SECURITY__ALLOW_CUSTOM_CONNECTOR_FUNCTIONS` no estén configurados o estén configurados explícitamente en `False`.