CVE-2024-41178

Exposición de credenciales temporales en registros en Apache Arrow Rust Object Store (caja `object_store`), versión 0.10.1 y anteriores en todas las plataformas que utilizan AWS WebIdentityTokens. En determinadas condiciones de error, los registros pueden contener el token OIDC pasado a AssumeRoleWithWebIdentity https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithWebIdentity.html. Esto permite que alguien con acceso a los registros se haga pasar por esa identidad, incluida la realización de sus propias llamadas a AssumeRoleWithWebIdentity, hasta que caduque el token OIDC. Normalmente, los tokens OIDC son válidos por hasta una hora, aunque esto variará según el emisor. Se recomienda a los usuarios utilizar un mecanismo de autenticación de AWS diferente, deshabilitar el registro o actualizar a la versión 0.10.2, que soluciona este problema. Detalles: cuando se utilizan AWS WebIdentityTokens con la caja object_store, en caso de error y reintento automático, el error de solicitud subyacente, incluida la URL completa con las credenciales, potencialmente en los parámetros, se escribe en los registros. Gracias a Paul Hatcherian por informar de esta vulnerabilidad.