Kedro में वर्शन किए गए डेटासेट लोडिंग में पाथ ट्रैवर्सल भेद्यता, असुरक्षित वर्शन स्ट्रिंग के कारण

इस भेद्यता का फायदा उठाकर, एक हमलावर Kedro एप्लिकेशन के भीतर संवेदनशील फ़ाइलों तक पहुँच सकता है। getversionedpath() विधि उपयोगकर्ता द्वारा प्रदान किए गए संस्करण स्ट्रिंग को बिना किसी सैनिटाइजेशन के सीधे फ़ाइल सिस्टम पथों में इंटरपोलेट करती है। हमलावर पथ पारगमन अनुक्रमों (जैसे ../) का उपयोग करके इच्छित संस्करणित डेटासेट निर्देशिका से बाहर निकल सकते हैं। यह भेद्यता catalog.load(), DataCatalog.fromconfig() और CLI के माध्यम से kedro run --load-versions=dataset:../../../secrets जैसे कई प्रवेश बिंदुओं के माध्यम से शोषण योग्य है। एक सफल शोषण से गोपनीय डेटा का प्रकटीकरण, संशोधन या हटाना हो सकता है, जिससे डेटा अखंडता और गोपनीयता से समझौता हो सकता है।

Data science teams and organizations using Kedro for data pipeline orchestration are at risk, particularly those relying on older versions (0.0.0 - 1.2.9). Environments where Kedro pipelines process or store sensitive data, such as financial or healthcare information, face a higher risk of data compromise. Shared hosting environments where multiple Kedro pipelines are deployed on the same server could also be vulnerable.

• python / kedro:

import os
import kedro

def check_versioned_path(version):
    try:
        path = kedro.io.core._get_versioned_path('dataset', version=version)
        # Check if the path is within the expected directory
        if '..' in version:
            print(f"Potential path traversal detected with version: {version}")
    except Exception as e:
        print(f"Error checking path: {e}")

# Example usage with a malicious version string
check_versioned_path('dataset:../../../secrets')

• generic web: Check Kedro pipeline configuration files for version strings that include traversal sequences (../). Examine access logs for requests containing suspicious path parameters.

1. 2026-04-06Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-06
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

इस भेद्यता को कम करने के लिए, Kedro को संस्करण 1.3.0 या बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल सिस्टम एक्सेस को प्रतिबंधित करने के लिए WAF (वेब एप्लिकेशन फ़ायरवॉल) नियमों को लागू किया जा सकता है। इसके अतिरिक्त, इनपुट सत्यापन और सैनिटाइजेशन को लागू करने से पथ पारगमन हमलों को रोकने में मदद मिल सकती है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, संस्करण 1.3.0 या बाद के संस्करण में एप्लिकेशन को चलाकर और यह सुनिश्चित करके कि संवेदनशील फ़ाइलों तक अनधिकृत पहुँच संभव नहीं है।