CVE-2026-35171

RCE w Kedro przez niezabezpieczoną konfigurację logowania (dictConfig)

CVSS 9.8v3.1pub. 2026-04-06upd. 2026-04-14

Podatność w Kedro (przed wersją 1.3.0) umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez manipulację ścieżką pliku konfiguracji logowania za pomocą zmiennej środowiskowej KEDRO_LOGGING_CONFIG. Jest to krytyczna podatność RCE, która może zostać wykorzystana już podczas uruchamiania aplikacji.

▸ Pokaż oryginał (EN)

Kedro is a toolbox for production-ready data science. Prior to 1.3.0, Kedro allows the logging configuration file path to be set via the KEDRO_LOGGING_CONFIG environment variable and loads it without validation. The logging configuration schema supports the special () key, which enables arbitrary callable instantiation. An attacker can exploit this to execute arbitrary system commands during application startup. This is a critical remote code execution (RCE) vulnerability caused by unsafe use of logging.config.dictConfig() with user-controlled input. This vulnerability is fixed in 1.3.0.

🤖 Analiza AI

Jak działa

Kedro wczytuje plik konfiguracji logowania wskazany przez zmienną środowiskową KEDRO_LOGGING_CONFIG bez jakiejkolwiek walidacji jego zawartości. Funkcja logging.config.dictConfig() obsługuje specjalny klucz '()', który pozwala na tworzenie instancji dowolnych obiektów wywoływalnych (callable). Atakujący może dostarczyć spreparowany plik konfiguracyjny zawierający ten klucz, co prowadzi do deserializacji niezaufanych danych i wykonania dowolnych poleceń systemowych w momencie startu aplikacji. Podatność wynika z połączenia dwóch słabości: braku walidacji danych wejściowych (CWE-94) oraz niebezpiecznej deserializacji (CWE-502).

Skutki

Atakujący może wykonać dowolny kod na serwerze z uprawnieniami procesu Kedro już w trakcie jego uruchamiania, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz potencjalnego lateral movement w sieci.

Mitygacja

Należy zaktualizować Kedro do wersji 1.3.0 lub nowszej, w której podatność została naprawiona. Dodatkowo zaleca się audyt środowisk pod kątem nieautoryzowanych modyfikacji zmiennej środowiskowej KEDRO_LOGGING_CONFIG oraz ograniczenie możliwości ustawiania zmiennych środowiskowych przez nieuprawnione podmioty.