Sintesi

Rilevato lo sfruttamento attivo in rete di 5 vulnerabilità, di cui una con gravità “critica” – già sanate dal vendor il 15 marzo 2024 – in carichi di lavoro Kubernetes di OpenMetadata, piattaforma open source per la gestione di metadati. Tali vulnerabilità, potrebbero consentire a un attaccante remoto l’esecuzione arbitraria di codice sulle istanze Kubernetes che eseguono un’immagine vulnerabile di OpenMetadata.

Note: Proof of Concept (PoC) per lo sfruttamento delle vulnerabilità CVE-2024-28255, CVE-2024-28253, CVE-2024-28848, CVE-2024-28847, CVE-2024-28254 risultano disponibili in rete.

Tipologia

• Authentication Bypass
• Remote Code Execution

Descrizione

È stato rilevato lo sfruttamento delle vulnerabilità CVE-2024-28255, CVE-2024-28253, CVE-2024-28848, CVE-2024-28847 e CVE-2024-28254 in carichi di lavoro Kubernetes di OpenMetadata, piattaforma open source per la gestione di metadati..

Nel dettaglio, lo sfruttamento di tali vulnerabilità – con score CVSS v3.1 da 8.8 a 9.8 e di tipo “Authentication Bypass” e “Remote Code Execution (RCE)” – potrebbero permettere il bypass dei meccanismi di autenticazione e l’esecuzione di codice arbitrario sui sistemi target.

Prodotti e versioni affette

OpenMetadata

• 1.2.x, versioni precedenti alla 1.2.4
• 1.3.x, versioni precedenti alla 1.3.1

Azioni di Mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-28255

CVE-2024-28253

CVE-2024-28848

CVE-2024-28847

CVE-2024-28254

Riferimenti

https://github.com/open-metadata/OpenMetadata/security/advisories/GHSA-6wx7-qw5p-wh84

https://github.com/open-metadata/OpenMetadata/security/advisories/GHSA-7vf4-x5m2-r6gr

https://github.com/open-metadata/OpenMetadata/security/advisories/GHSA-5xv3-fm7g-865r

https://github.com/open-metadata/OpenMetadata/security/advisories/GHSA-8p5r-6mvv-2435

https://github.com/open-metadata/OpenMetadata/security/advisories/GHSA-j86m-rrpr-g8gw

https://github.com/open-metadata/OpenMetadata/security

https://www.microsoft.com/en-us/security/blog/2024/04/17/attackers-exploiting-new-critical-openmetadata-vulnerabilities-on-kubernetes-clusters/ 

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.