CVE-2024-28255: Authentication Bypass in OpenMetadata

Esta vulnerabilidad de bypass de autenticación permite a un atacante acceder a recursos protegidos dentro de OpenMetadata sin la necesidad de credenciales válidas. Al manipular los parámetros de ruta en las solicitudes HTTP, el atacante puede eludir el filtro JwtFilter que normalmente verifica la validez de los tokens JWT. Esto podría resultar en la exposición de datos sensibles, la modificación de la configuración del sistema, o incluso el control total de la plataforma OpenMetadata. La severidad crítica de esta vulnerabilidad se debe a la facilidad con la que puede ser explotada y al potencial impacto en la confidencialidad, integridad y disponibilidad de los datos gestionados por OpenMetadata. Un atacante podría, por ejemplo, acceder a información de metadatos confidencial o modificar las políticas de gobernanza.

Organizations using OpenMetadata for data discovery, observability, and governance, particularly those running versions 1.2.3 or earlier, are at significant risk. Shared hosting environments where OpenMetadata instances are deployed alongside other applications are also vulnerable, as a compromise of one instance could potentially lead to broader system access.

• linux / server: Monitor OpenMetadata access logs for unusual request patterns, specifically those containing path manipulation attempts (e.g., ;v1%2fusers%2flo). Use journalctl -f to observe real-time log activity.

 grep -iE 'path manipulation|;v1%2fusers%2flo' /var/log/openmetadata/access.log

• generic web: Use curl to test endpoint access with manipulated paths. Check response headers for unauthorized access.

curl -v 'http://openmetadata.example.com/api/v1;v1%2fusers%2flo'

• java: If you have access to the OpenMetadata JVM, monitor for unusual JWT validation errors or authentication failures in the application logs.

1. 2024-03-15Disclosure

   disclosure

1. Reservado2024-03-07
2. Publicada2024-03-15
3. Modificada2024-08-19
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-28255 es actualizar OpenMetadata a la versión 1.2.4, que incluye la corrección de la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales. Una posible solución temporal es restringir el acceso a la API de OpenMetadata a través de una red privada virtual (VPN) o firewall, limitando la exposición a ataques externos. Además, se puede considerar la implementación de un Web Application Firewall (WAF) con reglas personalizadas para detectar y bloquear solicitudes con parámetros de ruta maliciosos. Finalmente, revise y fortalezca las políticas de seguridad de la API, asegurándose de que todas las rutas estén adecuadamente protegidas y que la validación de JWT se realice correctamente. Después de la actualización, confirme que la validación de JWT funciona correctamente mediante la realización de pruebas de penetración.