Kedro heeft een padtraversering bij het laden van versiegegevens via een ongezuiverde versie string

De Path Traversal kwetsbaarheid in Kedro maakt het mogelijk voor een aanvaller om bestanden buiten de beoogde dataset directory te benaderen. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige informatie, zoals configuratiebestanden, API-sleutels of andere vertrouwelijke gegevens. De kwetsbaarheid is bereikbaar via verschillende entry points, waaronder catalog.load(..., version=...), DataCatalog.fromconfig(..., loadversions=...) en via de CLI met kedro run --load-versions=dataset:../../../secrets. Een succesvolle exploitatie kan resulteren in data-exfiltratie, compromittering van de server en mogelijk verdere toegang tot het onderliggende systeem.

Data science teams and organizations using Kedro for data pipeline orchestration are at risk, particularly those relying on older versions (0.0.0 - 1.2.9). Environments where Kedro pipelines process or store sensitive data, such as financial or healthcare information, face a higher risk of data compromise. Shared hosting environments where multiple Kedro pipelines are deployed on the same server could also be vulnerable.

• python / kedro:

import os
import kedro

def check_versioned_path(version):
    try:
        path = kedro.io.core._get_versioned_path('dataset', version=version)
        # Check if the path is within the expected directory
        if '..' in version:
            print(f"Potential path traversal detected with version: {version}")
    except Exception as e:
        print(f"Error checking path: {e}")

# Example usage with a malicious version string
check_versioned_path('dataset:../../../secrets')

• generic web: Check Kedro pipeline configuration files for version strings that include traversal sequences (../). Examine access logs for requests containing suspicious path parameters.

1. 2026-04-06Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-06
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-04-14

De primaire mitigatie voor CVE-2026-35167 is het upgraden naar Kedro versie 1.3.0 of hoger, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van input validatie op de versie strings die aan de getversioned_path() methode worden doorgegeven. Dit kan worden gedaan door een whitelist van toegestane karakters te gebruiken of door pad traversal sequences (zoals ../) te filteren. Het is ook aan te raden om de toegang tot de Kedro applicatie te beperken en de configuratie te beveiligen om de impact van een succesvolle exploitatie te minimaliseren.