Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Ingestion: certifi < 2026.10.19 still trusts the compromised eMudhra/emSign CAs

Aperta
  • Qualcosa non va?
#36,047 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

  • #36048 di @ulixius9 — chiusa senza merge

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
35/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Ferma
Stack tecnologico
docker, python
Ambito
devops, security

Direzione di ricerca

Start with ingestion/setup.py and ingestion/airflow-constraints-3.3.2.txt; the issue specifies adding a certifi >= 2026.10.19 floor to the ingestion base requirements and updating the local constraints pin. Check how the Dockerfile installs the packages, then verify the resolved certifi version in the ingestion image. A linked pull request is already closed and unmerged, so check its history before taking this on.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Problem

eMudhra's emSign intermediate CAs were issued with trivially weak EC private keys, so anyone holding them could forge a certificate for any host. See the PSF advisory. The fix there is certifi >= 2026.10.19 (and pip >= 26.2.2 for pip's vendored copy), which drops emSign ECC Root CA - G3.

The ingestion connectors open TLS connections to source systems through requests/httpx, which trust certifi. As things stand, the shipped images keep the old bundle:

  • ingestion/Dockerfile installs openmetadata-managed-apis under the upstream Airflow 3.3.2 constraints (certifi==2026.7.22). The later openmetadata-ingestion install doesn't upgrade it, because nothing requires a newer version.
  • ingestion/airflow-constraints-3.3.2.txt pins certifi==2026.7.22.
  • ingestion/setup.py has no certifi floor, so pip install openmetadata-ingestion into an existing environment keeps whatever certifi is already there.

Already fine:

  • pip in all ingestion images is >=26.2,<27, so new builds get 26.2.2.
Fix

Add a certifi>=2026.10.19 floor in the ingestion base requirements, and bump the local constraints pin to match.

Out of scope / follow-up

The Java server runs on Temurin 21, which uses the JDK cacerts store rather than certifi. A local OpenJDK 21 lists emSign entries there, so it needs a separate check. The same goes for the OS ca-certificates store used by native clients (libpq, mysqlclient) in the ingestion images.

Lingua principale
TypeScript
Stelle
15.4k
Fork
2.4k
Merge medio
1g 4h
PR unite (30g)
707

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di open-metadata/OpenMetadata

Tutte le issue di open-metadata/OpenMetadata

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.