Kedro présente un traversée de chemin dans le chargement de jeux de données versionnés via une chaîne de version non assainie

L'exploitation de cette vulnérabilité permet à un attaquant de lire des fichiers arbitraires sur le système de fichiers, en manipulant les chaînes de version utilisées par la fonction getversionedpath(). L'attaquant peut ainsi accéder à des informations sensibles telles que des clés API, des mots de passe ou des données confidentielles stockées dans des fichiers situés en dehors du répertoire prévu. L'accès est possible via plusieurs points d'entrée, notamment catalog.load(..., version=...), DataCatalog.fromconfig(..., load_versions=...) et via l'interface en ligne de commande (CLI) avec kedro run --load-versions=dataset:../../../secrets. Cette vulnérabilité est particulièrement préoccupante dans les environnements de production où Kedro est utilisé pour gérer des pipelines de données sensibles.

Data science teams and organizations using Kedro for data pipeline orchestration are at risk, particularly those relying on older versions (0.0.0 - 1.2.9). Environments where Kedro pipelines process or store sensitive data, such as financial or healthcare information, face a higher risk of data compromise. Shared hosting environments where multiple Kedro pipelines are deployed on the same server could also be vulnerable.

• python / kedro:

import os
import kedro

def check_versioned_path(version):
    try:
        path = kedro.io.core._get_versioned_path('dataset', version=version)
        # Check if the path is within the expected directory
        if '..' in version:
            print(f"Potential path traversal detected with version: {version}")
    except Exception as e:
        print(f"Error checking path: {e}")

# Example usage with a malicious version string
check_versioned_path('dataset:../../../secrets')

• generic web: Check Kedro pipeline configuration files for version strings that include traversal sequences (../). Examine access logs for requests containing suspicious path parameters.

1. 2026-04-06Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-06
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-14

La solution principale est de mettre à jour Kedro vers la version 1.3.0 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de limiter l'impact en mettant en place des mesures de sécurité supplémentaires. Il est fortement recommandé de restreindre les permissions d'accès au répertoire de travail de Kedro. En outre, il est possible de valider et de désinfecter les chaînes de version fournies par l'utilisateur avant de les utiliser dans la construction des chemins de fichiers. Enfin, surveillez attentivement les journaux d'accès pour détecter toute tentative d'accès non autorisé aux fichiers.