Podatności SpiceDB

SpiceDB od wersji 1.34.0 do 1.54.0 może zwracać PERMISSIONSHIP_HAS_PERMISSION zamiast PERMISSIONSHIP_CONDITIONAL_PERMISSION lub PERMISSIONSHIP_NO_PERMISSION, ponieważ checkRequestToKey() i checkRequestToKeyWithCanonical() w internal/dispatch/keys/computed.go pomijają CheckHints przy budowaniu kluczy pamięci podręcznej. Wynik obliczony dla jednego zestawu wskazówek może zatruć wpis pamięci podręcznej używany przez semantycznie inny test autoryzacji.

W SpiceDB od wersji 1.15.0 do przed 1.52.0 wykryto podatność, w której struktury caveat z zagnieżdżonymi listami mogą prowadzić do nieprawidłowego ponownego użycia pamięci podręcznej (cache). Poprawiono w wersji 1.52.0.

SpiceDB w wersjach 1.49.0–1.51.0 przy starcie z poziomem logowania info zapisuje w logu konfiguracji pełny DSN magazynu danych, w tym hasło w postaci jawnej w polu DatastoreConfig.URI. Podatność naprawiono w wersji 1.51.1.

SpiceDB to open source'owy system bazodanowy do tworzenia i zarządzania uprawnieniami aplikacji o krytycznym znaczeniu dla bezpieczeństwa. W wersjach przed 1.47.1, jeśli schemat zawiera określone cechy (uprawnienie zdefiniowane jako suma (+) odwołująca się do tej samej relacji po obu stronach, ale jedna strona wskazuje na inne uprawnienie), SpiceDB może zwracać niekompletne wyniki LookupResources. Problem dotyczy tylko LookupResources; inne API obliczają uprawnienia poprawnie. Naprawiono w wersji 1.47.1.

SpiceDB, system baz danych inspirowany Google Zanzibar, ma problem z negatywnymi decyzjami autoryzacyjnymi przy użyciu zapytania `LookupResources` w wersji 1.22.0. Użytkownicy mogą nieprawidłowo uzyskać dostęp do zasobów, które powinny być zablokowane.