CVE-2026-58139

DuckDB üçün DuckDB AWS genişlənməsi təhlükəsizlik siyasətindən yan keçmə zəifliyi ehtiva edir ki, bu da SQL icra etmə icazələri olan hər hansı verilənlər bazası istifadəçisinə `redact_secret` parametri `false` olaraq təyin edilmiş `load_aws_credentials` funksiyasını çağırmaqla, verilənlər bazası səviyyəsindəki `allow_unredacted_secrets=false` siyasətini dövr edərək açıq mətn formatında AWS etibarnamələrini əldə etməyə imkan verir. Hücumçular `access_key_id`, `secret_access_key`, `session_token` və `region` daxil olmaqla altda yatan AWS etibarnamə zəncirini açıq mətndə əldə etmək üçün bu tək funksiyanı çağıra bilərlər; həmin məlumatlar AWS API-ləri qarşısında dərhal etibarlıdır və xüsusilə `pg_duckdb`-nin öncədən yükləndiyi və IMDSv2, IRSA, ECS tapşırıq rolu və ya EC2 instansiya rolu kimi AWS etibarnamə zəncirinin əlçatan olduğu idarə olunan mühitlərdə ciddi təsir göstərir.