CVE-2023-45825
Açıklama
ydb-go-sdk, YDB platformu için saf Go yerel ve database/sql sürücüsüdür. ydb-go-sdk v3.48.6 sürümünden itibaren, özel bir kimlik bilgileri nesnesi (Credentials arayüzünün uygulaması) kullanırsanız, bu bilgiler günlüklere sızabilir. Bu durum, YDB sunucusuna bağlantı sırasında bu nesnenin `fmt.Errorf("something went wrong (credentials: %q)", credentials)` kullanılarak bir hata mesajına serileştirilebilmesinden kaynaklanmaktadır. Böyle bir günlükleme gerçekleşirse, günlüklere erişimi olan kötü niyetli bir kullanıcı hassas bilgileri (yani kimlik bilgilerini) okuyabilir ve bunları veritabanına erişim sağlamak için kullanabilir. ydb-go-sdk, v3.48.6 ile v3.53.2 arasındaki sürümlerde bu sorunu içermektedir. Bu sorun için düzeltme v3.53.3 sürümünde yayınlanmıştır. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, özel kimlik bilgileri türlerinde nesne durumunun açıkça dizeye dönüştürüldüğü `fmt.Stringer` arayüzünü uygulamalıdır.
Nasıl düzeltilir
- ydb ydb-go-sdk3.53.2 ya da sonraki bir sürüm
- github.com/ydb-platform/ydb-go-sdk/v33.53.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ydb ydb-go-sdk | 3.48.6 ≤ v < 3.53.2 | 3.53.2 |
| github.com/ydb-platform/ydb-go-sdk/v3Go | 3.48.6 ≤ v < 3.53.3 | 3.53.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.