در پلتفرم Hatchet که برای مدیریت وظایف پس‌زمینه (Background Tasks)، عوامل هوش مصنوعی (AI Agents) و گردش‌کارهای پایدار (Durable Workflows) در مقیاس بالا استفاده می‌شود، یک آسیب‌پذیری امنیتی شناسایی شده است که می‌تواند منجر به نشت داده‌ها بین مستاجران (Tenants) مختلف شود.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی در مسیر Polling مربوط به WorkerStatus gRPC در فایل pkg/repository/durable_events.go رخ داده است. در نسخه‌های پیش از 0.106.1، شناسه‌های مربوط به وظایف پایدار (Durable Task)، گره‌ها (Node) و شاخه‌ها (Branch) که توسط کاربر ارسال می‌شوند، بدون اعمال فیلتر مستاجر (Tenant Filter) به تابع ListSatisfiedEntries پاس داده می‌شوند.
تاثیر و ریسک بهره‌برداری
این نقص به یک Worker احراز هویت شده اجازه می‌دهد تا در صورتی که UUID مربوط به یک وظیفه پایدار متعلق به مستاجر دیگری را بداند، بتواند سوابق مربوط به Event-log آن مستاجر را بازیابی کند. با این حال، به دلیل استفاده از استاندارد UUIDv4، حدس زدن یا یافتن این شناسه‌ها بسیار دشوار است و احتمال بهره‌برداری عملیاتی (Exploitation) را کاهش می‌دهد.
توصیه امنیتی
به مدیران سیستم و مهندسین امنیت توصیه می‌شود برای رفع این مشکل، پلتفرم Hatchet را به نسخه 0.106.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا مکانیزم‌های فیلترینگ مستاجر در لایه‌های gRPC به درستی اعمال شوند.
