Kedro possui uma vulnerabilidade de bypass de caminho ao carregar conjuntos de dados versionados via string de versão não sanitizada

A vulnerabilidade de Path Traversal no Kedro permite que um atacante manipule a construção de caminhos de arquivos, inserindo sequências de traversal como ../. Ao explorar essa falha, um invasor pode acessar arquivos fora do diretório de dados versionado pretendido, potencialmente expondo informações confidenciais, como chaves de API, senhas ou dados de configuração. O ataque pode ser iniciado através de múltiplos pontos de entrada, incluindo catalog.load(..., version=...), DataCatalog.fromconfig(..., loadversions=...) e através da interface de linha de comando (CLI) com kedro run --load-versions=dataset:../../../secrets. O impacto potencial é a exposição de dados sensíveis e a possível comprometimento do sistema.

Data science teams and organizations using Kedro for data pipeline orchestration are at risk, particularly those relying on older versions (0.0.0 - 1.2.9). Environments where Kedro pipelines process or store sensitive data, such as financial or healthcare information, face a higher risk of data compromise. Shared hosting environments where multiple Kedro pipelines are deployed on the same server could also be vulnerable.

• python / kedro:

import os
import kedro

def check_versioned_path(version):
    try:
        path = kedro.io.core._get_versioned_path('dataset', version=version)
        # Check if the path is within the expected directory
        if '..' in version:
            print(f"Potential path traversal detected with version: {version}")
    except Exception as e:
        print(f"Error checking path: {e}")

# Example usage with a malicious version string
check_versioned_path('dataset:../../../secrets')

• generic web: Check Kedro pipeline configuration files for version strings that include traversal sequences (../). Examine access logs for requests containing suspicious path parameters.

1. 2026-04-06Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-06
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

A mitigação primária para o CVE-2026-35167 é atualizar o Kedro para a versão 1.3.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório de dados versionado e implementar controles de validação de entrada mais rigorosos para evitar a injeção de sequências de traversal. Além disso, configure um Web Application Firewall (WAF) para bloquear solicitações com padrões de traversal suspeitos. Monitore os logs do sistema em busca de tentativas de acesso não autorizado a arquivos.