CVE-2023-34395

Yüksek

Açıklama

Apache Software Foundation Apache Airflow ODBC Provider'da bir komuttaki bağımsız değişken sınırlayıcılarının uygun şekilde etkisiz hale getirilmemesi ('Bağımsız Değişken Enjeksiyonu') zafiyeti bulunmaktadır. OdbcHook içerisinde, rastgele dinamik bağlantı kitaplıklarının yüklenmesine izin veren kontrol edilebilir ODBC sürücü parametreleri nedeniyle sistemde yetki yükseltme zafiyeti mevcut olup bu durum komut çalıştırılmasıyla sonuçlanmaktadır. 4.0.0 sürümünden itibaren sürücü yalnızca hook yapılandırıcısı üzerinden ayarlanabilmektedir. Bu sorun şu ürünü etkilemektedir: Apache Airflow ODBC Provider: 4.0.0 öncesi sürümler.

ÖnemYüksek

CVSS7.8

İstismar olasılığı—

Ürün

Apache-airflow-providers-odbc

Yayın27 Haz 2023

İlk görülme27 Haz 2023

Zayıflık türüCWE-88CWE-88

Nasıl düzeltilir

Güncelleyin

apache apache-airflow-providers-odbc4.0.0 ya da sonraki bir sürüm
apache-airflow-providers-odbc4.0.0 ya da sonraki bir sürüm

Yamalar

github.com/apache/airflow/pull/31713

Üretici duyuruları

lists.apache.org/thread/l26yykftzbhc9tgcph8cso88bc2lqwwd

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
apache apache-airflow-providers-odbc	v < 4.0.0	4.0.0
apache-airflow-providers-odbcPyPI	v < 4.0.0	4.0.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.