Podatności Apache DolphinScheduler

Podatność nieprawidłowej autoryzacji w obsłudze zadań podrzędnych (sub-workflow) w Apache DolphinScheduler przed wersją 3.4.3. Uwierzytelniony użytkownik bez uprawnień do projektu docelowego może odwołać się i uruchomić przepływ pracy należący do tego projektu poprzez zadanie podrzędne. System nie weryfikuje poprawnie uprawnień użytkownika do wykonania odwołanego przepływu pracy ani dostępu do jego projektu, co pozwala na ominięcie kontroli autoryzacji na poziomie projektu i wykonanie przepływów pracy w nieautoryzowanych projektach.

Podatność obejścia uwierzytelniania w ochronie punktów końcowych Actuator w Apache DolphinScheduler przed wersją 3.4.3. Aplikacja określa, czy uwierzytelnianie jest wymagane, dopasowując ścieżkę żądania do chronionych ścieżek Actuator. Wysyłając specjalnie spreparowane żądanie zawierające ścieżkę z kodowaniem procentowym, zdalny nieuwierzytelniony atakujący może sprawić, że kontrola bezpieczeństwa nie rozpozna żądania jako skierowanego do chronionego punktu końcowego. W rezultacie atakujący może ominąć uwierzytelnianie i uzyskać dostęp do ograniczonych punktów końcowych Actuator, co może ujawnić informacje operacyjne lub konfiguracyjne oraz, w zależności od włączonych punktów końcowych i konfiguracji aplikacji, umożliwić dostęp do wrażliwych funkcji zarządzania.

Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi mającemu jedynie uprawnienia do odczytu projektu na modyfikację instancji przepływu pracy w tym projekcie poprzez endpoint PUT /projects/{projectCode}/workflow-instances/{id}. Endpoint nie wymusza uprawnień zapisu wymaganych dla tej operacji.

Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi na użycie endpointów batch-copy i batch-move do operowania na przepływach pracy w projektach, do których nie ma wymaganych uprawnień. Może to umożliwić kopiowanie lub przenoszenie przepływów pracy z nieautoryzowanych projektów.

Parametr scriptPath jest wstawiany do polecenia /bin/sh -c bez wystarczającej neutralizacji znaków specjalnych powłoki, co umożliwia podstawianie i wykonywanie poleceń powłoki. Uwierzytelniony użytkownik może utworzyć zasób, którego nazwa pliku zawiera składnię podstawiania poleceń, np. $(...), a następnie przekazać wynikową ścieżkę do endpointu /test-send wtyczki Alert Script. Podczas wykonywania skryptu alertu powłoka interpretuje wstrzyknięte polecenie, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu usługi DolphinScheduler.

Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.

Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.

Podatność w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na pobieranie informacji o kontach innych użytkowników przez endpoint /dolphinscheduler/users/list-all bez wymaganych uprawnień. Endpoint nie egzekwuje niezbędnych kontroli autoryzacji przed zwróceniem informacji o kontach użytkowników. Skuteczne wykorzystanie może ujawnić wrażliwe informacje o użytkownikach i ułatwić enumerację kont. Problem dotyczy wersji przed 3.4.3.

Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom niebędącym administratorami na pobieranie danych konfiguracyjnych Kubernetes przeznaczonych dla administratorów. Ujawnione dane kubeconfig zawierają poświadczenia, które mogą umożliwić bezpośrednie uwierzytelnienie do API Kubernetes poza DolphinScheduler.

Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom uzyskać informacje o źródłach danych, do których nie mają uprawnień, poprzez endpointy /unauth-datasource i /authed-datasource. Endpointy te nie egzekwują kontroli dostępu i zwracają wrażliwe informacje o połączeniu, w tym hasła do źródeł danych.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na operowanie instancjami zadań w projektach, do których nie mają uprawnień, poprzez endpointy /dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop oraz /savepoint.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom modyfikować definicje zadań w projektach, do których nie mają uprawnień, poprzez endpoint /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream. Endpoint nie weryfikuje, czy definicja zadania należy do podanego projektu.

Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na nieautoryzowane operacje na harmonogramach przepływów pracy, definicjach przepływów pracy i instancjach zadań w innych projektach. Dotknięte endpointy sprawdzają uprawnienia względem podanego projectCode, ale nie weryfikują, czy zasób należy do tego projektu.

W Apache DolphinScheduler istnieje brak autoryzacji w API `query-dynamic-sub-workflows`. API nie weryfikuje poprawnie, czy uwierzytelniony użytkownik ma uprawnienia do dostępu do zapytywanych przepływów pracy. Użytkownik bez uprawnień do konkretnego projektu może pobrać informacje o przepływach pracy należących do tego projektu, co prowadzi do nieautoryzowanego ujawnienia informacji.

Endpoint /datasources/unauth-datasource nie egzekwuje poprawnie autoryzacji źródeł danych. Uwierzytelniony użytkownik może wywołać ten endpoint, aby uzyskać informacje o źródłach danych, do których nie ma uprawnień. Może to ujawnić konfigurację źródeł danych i inne wrażliwe metadane. Problem dotyczy Apache DolphinScheduler przed wersją 3.4.3.

W interfejsach API grup zadań (Task Group) w Apache DolphinScheduler występuje podatność polegająca na braku autoryzacji. Dotknięte API nie weryfikują poprawnie, czy uwierzytelniony użytkownik ma uprawnienia dostępu do projektu powiązanego z docelową grupą zadań. Problem dotyczy wersji przed 3.4.3.

W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.

W Apache DolphinScheduler przed wersją 3.4.2 uwierzytelnieni użytkownicy mogą uzyskać dostęp do instancji alertów związanych z grupami alertów, do których nie mają uprawnień.

Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom na dostęp do informacji o instancjach workflow, które należą do projektów, do których nie mają uprawnień.

Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom z uprawnieniami logowania do systemu na usuwanie definicji zadań w nieautoryzowanych projektach.

Podatność na deserializację niezaufanych danych w module RPC Apache DolphinScheduler dotyczy wersji od 3.2.0 do 3.3.1. Atakujący, którzy mają dostęp do węzłów Master lub Worker, mogą skompromitować system, tworząc StandardRpcRequest, wstrzykując złośliwy typ klasy i wysyłając żądania RPC do węzłów Master/Worker.