romain-deperne/cve-2026-41490Divulgazione dettagliata di CVE-2026-41490 con PoC che dimostra un'iniezione SQL non autenticata nei gestori di I/O del database di Dagster tramite chiavi di partizione dinamiche, con impatto sulle integrazioni DuckDB, Snowflake, BigQuery e DeltaLake.
Gravità: Alta (CVSS 8.3) CWE: CWE-89 — SQL Injection Affected: Dagster core <= 1.13.0 e pacchetti di integrazione <= 0.29.0 Fixed in: Dagster core 1.13.1 e pacchetti di integrazione 0.29.1 Advisory: GHSA-mjw2-v2hm-wj34 NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41490 Credit: Romain Deperne
Ogni database I/O manager di Dagster costruisce la propria clausola WHERE interpolando tramite f-string i valori delle chiavi di partizione
direttamente nell'SQL. Quando un asset utilizza DynamicPartitionsDefinition, le chiavi di partizione possono
essere impostate a runtime tramite l'API GraphQL (addDynamicPartition) — che non è autenticata nella
distribuzione predefinita del webserver. Una chiave di partizione malevola fluisce senza escape sia nelle query SELECT (load) che
DELETE (cleanup), producendo una SQL injection contro il warehouse sottostante (Snowflake, BigQuery,
DuckDB, DeltaLake, …).
Lo stesso helper, _static_where_clause, è copiato e incollato in cinque pacchetti I/O-manager. Ognuno di essi
esegue:
def _static_where_clause(table_partition):
partitions = ", ".join(f"'{partition}'" for partition in table_partition.partitions)
return f"""{table_partition.partition_expr} in ({partitions})"""
partition è racchiuso tra virgolette singole senza escaping. La questione era se partition sia mai
controllato dall'attaccante. Per le partizioni statiche è definito dallo sviluppatore — non interessante. Per
DynamicPartitionsDefinition le chiavi sono memorizzate nel database dei metadati di Dagster e aggiunte a runtime
tramite la mutazione GraphQL addDynamicPartition. Nel deployment predefinito di dagster-webserver GraphQL
non è autenticato, quindi un attaccante sulla rete fornisce la chiave di partizione end-to-end.
Ho confermato entrambi gli estremi della catena: la mutazione GraphQL accetta stringhe di chiave arbitrarie senza
validazione, e la chiave raggiunge _static_where_clause verbatim tramite context.asset_partition_keys.
addDynamicPartition(... partitionKey: "') UNION SELECT username, password_hash FROM secret_table; --")launchRun(...) mirato a quella partizioneSELECT/DELETE ... WHERE col in ('') UNION SELECT ... ; --')| Pacchetto | File |
|---|---|
| dagster-duckdb | io_manager.py:340-342 |
| dagster-snowflake | snowflake_io_manager.py:434-436 |
| dagster-gcp (BigQuery) | bigquery/io_manager.py:472-474 |
| dagster-deltalake | io_manager.py:265-267 |
| dagster-snowflake-polars | snowflake_polars_type_handler.py:74 |
Sia il percorso di caricamento che quello di pulizia lo utilizzano:
query = f"SELECT {col_str} FROM {schema}.{table} WHERE\n" + _partition_where_clause(...) # read
query = f"DELETE FROM {schema}.{table} WHERE\n" + _partition_where_clause(...) # write
Le chiavi di partizione erano trattate come costanti fidate dello sviluppatore, ma DynamicPartitionsDefinition le trasforma in input a runtime, impostabile dall'esterno. L'interpolazione con f-string che era "sicura" per le chiavi statiche diventa injection per quelle dinamiche. Correzione: query parametrizzate / corretta quotatura di identificatori e letterali invece delle f-string.
poc/poc_partition_sqli.py — mostra l'output vulnerabile di _static_where_clause per chiavi benigne e
malevole, esegue un'esfiltrazione live su DuckDB basata su UNION + DROP TABLE contro un database
precaricato, e stampa gli esatti payload GraphQL addDynamicPartition / launchRun che un attaccante invia.
pip install duckdb # minimal; full chain: dagster dagster-duckdb pandas
python3 poc/poc_partition_sqli.py
SQL injection non autenticata (configurazione predefinita) contro il data warehouse orchestrato da Dagster — lettura arbitraria di altre tabelle e scritture distruttive. Dagster si trova al centro delle piattaforme dati, quindi questo raggiunge l'archivio più sensibile dello stack.
Divulgato in modo responsabile tramite GitHub Security Advisory. PoC pubblicato dopo la correzione.