Vulnerabilidad en Kubernetes Helm (CVE-2024-29037)

datahub-helm proporciona los gráficos de Kubernetes Helm para implementar Datahub y sus dependencias en un clúster de Kubernetes. A partir de la versión 0.1.143 y antes de la versión 0.2.182, debido a problemas de configuración en el gráfico de timón, si había una implementación inicial exitosa durante un período de tiempo limitado, posiblemente se creaban tokens de acceso personal con una clave secreta predeterminada. Dado que la clave secreta es un valor estático y disponible públicamente, alguien podría inspeccionar el algoritmo utilizado para generar tokens de acceso personal y generar los suyos propios para una instancia. La implementación con la autenticación del servicio de metadatos habilitada habría sido difícil durante la ventana de lanzamientos. Si alguien eludió la configuración del timón y configuró manualmente la autenticación del servicio de metadatos para que se habilite usando variables de entorno directamente, esto omitiría la lógica de generación automática para Kubernetes Secrets y DataHub GMS usaría de forma predeterminada la clave de firma especificada estáticamente en application.yml. La mayoría de las implementaciones probablemente no intentaron eludir la configuración del timón para habilitar la autenticación del servicio de metadatos durante este tiempo, por lo que el impacto probablemente sea limitado. Cualquier implementación con la autenticación del servicio de metadatos habilitada debe garantizar que sus valores secretos estén correctamente aleatorizados. La versión 0.2.182 contiene un parche para este problema. Como workaround, se puede restablecer la clave de firma del token para que sea un valor aleatorio, lo que invalidará los tokens de acceso personal activos.