OpenMetadata vulnerable a inyección SpEL en `PUT /api/v1/policies` (`GHSL-2023-252`)

La inyección SpEL en OpenMetadata Service representa un riesgo significativo. Un atacante autenticado puede explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad de los datos almacenados en OpenMetadata. Esto podría incluir la extracción de información sensible, la modificación de metadatos críticos o incluso el control total del sistema. La necesidad de autenticación limita el alcance, pero la severidad de la ejecución de código arbitrario es alta. La explotación exitosa podría permitir el acceso a datos de linaje, perfiles de datos y otras informaciones sensibles gestionadas por OpenMetadata.

Organizations deploying OpenMetadata Service, particularly those using the DEMO_BETA1 or earlier versions, are at significant risk. Environments where the OpenMetadata Service is exposed to untrusted networks or where user authentication is not properly enforced are especially vulnerable. Shared hosting environments utilizing OpenMetadata Service should be carefully reviewed for potential exposure.

• linux / server:

journalctl -u openmetadata-service -g 'PolicyRepository.prepare' --since "1 hour"

• java / supply-chain: Inspect the PolicyRepository.prepare method in the OpenMetadata codebase for suspicious calls to expression evaluation functions. Look for instances where user-supplied data is directly incorporated into expressions without proper sanitization. • generic web: Monitor access logs for requests to /api/v1/policies with unusual or malformed payloads. Specifically, look for requests containing characters commonly used in SpEL expressions (e.g., #, T(java.lang.Runtime).getRuntime().exec(...)).

1. 2024-04-23Disclosure

   disclosure

2. 2024-04-23Patch

   patch

1. Reservado2024-03-07
2. Publicada2024-04-23
3. Modificada2025-09-04
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar a la versión 1.3.1 de OpenMetadata Service, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda restringir el acceso a la API PUT /api/v1/policies solo a usuarios de confianza. Implementar controles de validación de entrada robustos en la función validateRules puede ayudar a prevenir la inyección de código malicioso. Monitorear los logs del servidor en busca de patrones sospechosos relacionados con la ejecución de expresiones SpEL también es crucial. Considerar la implementación de un Web Application Firewall (WAF) con reglas para detectar y bloquear intentos de inyección SpEL.