CVE-2024-41672
Təsvir
DuckDB SQL verilənlər bazası idarəetmə sistemidir. 1.0.0 və əvvəlki versiyalarda `enable_external_access=false` olsa belə, fayl sistemindəki məzmun `sniff_csv` istifadə edilərək oxuna bilər. Bu zəiflik hücumçuya girişin deaktiv edilməsi gözlənilsə də və digər oxşar funksiyalar giriş təmin etməsə də, fayl sisteminə çıxış imkanı verir. Bu zəifliyin iki vektoru var. Birincisi, əks halda icazə verilməməli olan fayllara giriş. İkincisi, `sniff_csv` funksiyasının məqsədi belə görünməsə də, faylın məzmunu (məs. `/etc/hosts`, `proc/self/environ` və s.) oxuna bilər. Bu problem üçün düzəliş c9b7c98aa0e1cd7363fe8bb8543a95f38e980d8a commit-ində mövcuddur və 1.1.0 versiyasının tərkib hissəsi olması gözlənilir.
Necə düzəltmək olar
- duckdb duckdb1.1.0 və ya daha yeni versiya
- duckdb1.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| duckdb duckdb | v < 1.1.0 | 1.1.0 |
| duckdbPyPI | 1.0.0 ≤ v < 1.1.0, v < 1.1.0 | 1.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.