CVE-2023-49299
Sobre
Vulnerabilidade de Validação Inadequada de Entrada no Apache DolphinScheduler. Um usuário autenticado pode fazer com que javascript arbitrário e sem sandbox seja executado no servidor. Este problema afeta o Apache DolphinScheduler: até a 3.1.9.
Recomenda-se que os usuários atualizem para a versão 3.1.9, que corrige o problema.
Análise do analista Rainforest
O Apache DolphinScheduler até a 3.1.8 valida entrada de forma inadequada de um jeito que permite a um usuário autenticado executar JavaScript arbitrário e sem sandbox no servidor. O DolphinScheduler orquestra fluxos de dados, então já roda com alcance sobre pipelines e os sistemas que eles tocam — transformar um usuário legitimamente logado em um operador de código do lado do servidor sem sandbox colapsa a fronteira entre usar o agendador e possuir o host em que ele roda.
O requisito de autenticação é o principal limitador e mantém isso em 8.8 e não mais alto, mas é um limitador mais fraco do que parece para uma plataforma de orquestração interna: esses sistemas comumente guardam muitos usuários, contas de serviço e credenciais compartilhadas, qualquer um dos quais um phisher ou um insider pode converter nesta primitiva. Uma vez que o código roda sem sandbox, um atacante herda o acesso do agendador aos repositórios de dados e aos jobs posteriores.
Tratamos o DolphinScheduler como uma dependência e uma superfície de controle de acesso. As ações que conduzimos são enumerar onde ele roda, confirmar que está isolado de redes não confiáveis e levar as instâncias para a 3.1.9, que corrige o problema. Como o gatilho é um usuário autenticado, também ponderamos a higiene de contas — logins obsoletos e credenciais excessivamente compartilhadas na plataforma são a ignição realista, então apertá-los reduz a exposição junto com a atualização.
Referências
CVEs Relacionadas
Perguntas frequentes
O que é CVE-2023-49299?
Vulnerabilidade de Validação Inadequada de Entrada no Apache DolphinScheduler. Um usuário autenticado pode fazer com que javascript arbitrário e sem sandbox seja executado no servidor. Este problema afeta o Apache DolphinScheduler: até a 3.1.9. Recomenda-se que os usuários atualizem para a versão 3.1.9, que corrige o problema.
Qual a gravidade de CVE-2023-49299?
CVE-2023-49299 tem pontuação base CVSS 3.1 de 8.8, classificada como high. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 89 de 100, na faixa crítico.
Como CVE-2023-49299 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Baixo, interação do usuário Nenhuma. Impacto em confidencialidade Alto, integridade Alto e disponibilidade Alto.
Quais produtos são afetados por CVE-2023-49299?
Os avisos públicos listam como afetados: dolphinscheduler. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2023-49299?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.