Descripción
Redash es un paquete para la visualización y el intercambio de datos. Desde la versión 26.0.0 hasta antes de la 26.9.0, la ruta _connect() del DuckDB query runner en redash/query_runner/duckdb.py creaba conexiones con enable_external_access en su valor por defecto true. Un usuario con acceso de consulta a una fuente de datos DuckDB creada por un administrador podía usar funciones nativas de lectura de archivos para obtener archivos legibles por el proceso de Redash, o usar COPY TO para escribir archivos con los privilegios de ese proceso. La lectura de secretos de la aplicación, como REDASH_COOKIE_SECRET o REDASH_SECRET_KEY, también podría permitir la falsificación de sesiones y la omisión de autenticación. Este problema está corregido en la versión 26.9.0.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- redash Afectadas: >= 26.0.0, < 26.9.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/getredash/redash/security/advisories/GHSA-cr68-3xxj-cg9f
- Referencia en github.comgithub.com/getredash/redash/commit/7387072af40913a64e7b3be470491792f2…
- Referencia en github.comgithub.com/getredash/redash/releases/tag/v26.9.0
Ver el texto original en inglés (CVE.org)
Redash: DuckDB query runner allows arbitrary file read/write via unrestricted external access
Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created DuckDB data source could use native file-reading functions to retrieve files readable by the Redash process or use COPY TO to write files with that process's privileges. Reading application secrets such as REDASH_COOKIE_SECRET or REDASH_SECRET_KEY could also enable forged sessions and authentication bypass. This issue is fixed in version 26.9.0.