Kedro में दुर्भावनापूर्ण लॉगिंग कॉन्फ़िगरेशन के माध्यम से मनमाना कोड निष्पादन

CVE-2026-35171 केद्रो में एक गंभीर रिमोट कोड एग्जीक्यूशन (RCE) भेद्यता है, जो उपयोगकर्ता-नियंत्रित इनपुट के साथ logging.config.dictConfig() के असुरक्षित उपयोग के कारण है। केद्रो KEDROLOGGINGCONFIG पर्यावरण चर के माध्यम से लॉग कॉन्फ़िगरेशन फ़ाइल पथ को अनुमति देता है और इसे बिना सत्यापन के लोड करता है। लॉग कॉन्फ़िगरेशन स्कीमा विशेष कुंजी () का समर्थन करता है, जो मनमाना कॉल करने योग्य इंस्टेंटियेशन को सक्षम करता है। एक हमलावर इसका उपयोग एप्लिकेशन निष्पादन के दौरान मनमाना सिस्टम कमांड निष्पादित करने के लिए कर सकता है, जिससे सिस्टम की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है।

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-03
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

CVE-2026-35171 के लिए प्राथमिक शमन केद्रो को संस्करण 1.3.0 या बाद के संस्करण में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो लॉग कॉन्फ़िगरेशन को मान्य करता है और मनमाना कोड निष्पादन को रोकता है। यदि तत्काल अपग्रेड संभव नहीं है, तो KEDROLOGGINGCONFIG पर्यावरण चर का उपयोग करने से बचना और इसके बजाय एप्लिकेशन कोड के भीतर सीधे लॉग कॉन्फ़िगर करना उचित है। इसके अतिरिक्त, किसी भी मौजूदा लॉग कॉन्फ़िगरेशन फ़ाइलों की समीक्षा और सत्यापन करना सुनिश्चित करें कि उनमें दुर्भावनापूर्ण कॉन्फ़िगरेशन शामिल नहीं हैं। संदिग्ध गतिविधि के लिए सिस्टम लॉग की निगरानी संभावित हमलों का पता लगाने और प्रतिक्रिया देने में भी मदद कर सकती है।