Er is een ernstige kwetsbaarheid ontdekt in Dagster 1.10.14, bekend als CVE-2025-51481. Deze kwetsbaarheid maakt het mogelijk voor aanvallers om via lokale bestandsinclusie gegevens te lezen van willekeurige bestanden. Dit wordt bereikt via path traversal in de notebook_path parameter in ExternalNotebookData verzoeken.
De impact van deze kwetsbaarheid is aanzienlijk omdat aanvallers gevoelige gegevens kunnen benaderen, wat leidt tot hoge vertrouwelijkheidsschade. Identificeer en beheer deze kwetsbaarheid onmiddellijk om uw systemen te beschermen.
Overzicht
Deze kwetsbaarheid bevindt zich in de functie dagster._grpc.impl.get_notebook_data binnen de gRPC-server. Aanvallers kunnen padtraversal-sequenties invoeren en daarmee de voorgestelde bestandsverlengingscontroles omzeilen.
Aanbevelingen
- Update naar een nieuwe versie van Dagster zodra deze beschikbaar is.
- Implementeer toegangscontroles om onbevoegde verbindingen met de gRPC-server te voorkomen.
- Beperk toegang tot gevoelige bestandspaden binnen uw omgeving.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-51481?
Het betreft een kwetsbaarheid in Dagster 1.10.14 die het aanvallers mogelijk maakt om belangrijk systeemgegevens te bekomen via padtraversal.
Welke systemen zijn kwetsbaar voor CVE-2025-51481?
Systemen die gebruikmaken van Dagster 1.10.14 zijn kwetsbaar wanneer de gRPC-server publiek toegankelijk is.
Bestaat er al een patch of beveiligingsupdate?
Er zijn momenteel aanbevelingen voor het beperken van deze kwetsbaarheid, maar een officiele patch is mogelijk in ontwikkeling.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan toegang krijgen tot gevoelige systeeminformatie en mogelijk verdere aanvallen uitvoeren door misbruik van verkregen data.
Waarschuwing: deze kwetsbaarheid kan zonder uw weten de controle over gevoelige systemen in gevaar brengen; neem direct actie om uw netwerk te beveiligen.
