CVE-2022-39366

DataHub: Pominięcie weryfikacji podpisu JWT umożliwia auth bypass

CVSS 9.9v3.1pub. 2022-10-28upd. 2025-12-03

W DataHub przed wersją 0.8.45 serwis GMS nie weryfikuje podpisu kryptograficznego tokenów JWT, co pozwala atakującemu na uwierzytelnienie się jako dowolny użytkownik. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

DataHub is an open-source metadata platform. Prior to version 0.8.45, the `StatelessTokenService` of the DataHub metadata service (GMS) does not verify the signature of JWT tokens. This allows an attacker to connect to DataHub instances as any user if Metadata Service authentication is enabled. This vulnerability occurs because the `StatelessTokenService` of the Metadata service uses the `parse` method of `io.jsonwebtoken.JwtParser`, which does not perform a verification of the cryptographic token signature. This means that JWTs are accepted regardless of the used algorithm. This issue may lead to an authentication bypass. Version 0.8.45 contains a patch for the issue. There are no known workarounds.

🤖 Analiza AI

Jak działa

Komponent `StatelessTokenService` w DataHub Metadata Service (GMS) używa metody `parse` biblioteki `io.jsonwebtoken.JwtParser` zamiast metody weryfikującej podpis kryptograficzny. W efekcie tokeny JWT są akceptowane bez względu na zastosowany algorytm podpisywania lub jego poprawność. Atakujący może spreparować dowolny token JWT, podając w nim tożsamość wybranego użytkownika, i uzyskać dostęp do instancji DataHub bez znajomości klucza podpisującego. Warunkiem koniecznym jest włączone uwierzytelnianie Metadata Service.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do DataHub jako dowolny użytkownik, w tym jako administrator, co skutkuje pełnym przejęciem kontroli nad platformą metadanych i jej zawartością.

Mitygacja

Należy zaktualizować DataHub do wersji 0.8.45 lub nowszej, która zawiera patch eliminujący podatność. Producent nie wskazuje żadnych znanych obejść (workarounds).

Kogo dotyczy

DataHub (datahub-project/datahub) we wszystkich wersjach przed 0.8.45, gdy włączone jest uwierzytelnianie Metadata Service (GMS).

Uwagi

Podatność została ujawniona 2022-10-28. Producent potwierdził brak jakichkolwiek znanych workaroundów — jedyną skuteczną mitygacją jest aktualizacja do wersji 0.8.45.