Jepsen testete Orkes Conductor, eine Plattform zur Workflow-Orchestrierung, die benutzerdefinierte Aufgaben ausführt und Daten zwischen ihnen weiterleitet, in den Versionen 5.3.2 bis 5.5.0-rc2. Die Analyse ergab eine unerwartet häufige gleichzeitige Ausführung einzelner Aufgaben, die die Ausführung von Workflows erheblich verzögern könnte, sowie vier kleinere Fehler bei start Workflow oder Null-IDs.
Die gravierendsten Befunde waren drei Sicherheitsprobleme. In diesen Fällen hat Conductor Workflow-Ausführungen dauerhaft verworfen oder vergessen oder als abgeschlossen markiert, obwohl deren Aufgaben nie ausgeführt wurden. Orkes hat Version 5.5.6 mit Korrekturen für alle schwerwiegenden Sicherheitsprobleme veröffentlicht, die gleichzeitige Ausführung reduziert und zwei der start-Workflow-Fehler behoben. Die verbleibenden zwei werden noch untersucht. Die verzögerte Ausführung entspricht den Konstruktionsparametern von Conductor und muss nicht behoben werden.
Conductor wurde ursprünglich von Netflix entwickelt und 2016 als Open Source veröffentlicht. Seine Open-Source-Version wird inzwischen von der Conductor OSS Foundation gepflegt, die von Orkes geleitet wird. Orkes bietet außerdem das gehostete Orkes Conductor an, das im Mittelpunkt dieser Analyse steht.
Die Forschung wurde von Orkes Inc. finanziert und gemäß der Ethikrichtlinie von Jepsen durchgeführt. Orkes hat einen begleitenden Blogbeitrag zu dieser Arbeit veröffentlicht.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing