CVE-2024-2338
Açıklama
PostgreSQL Anonymizer v1.2, dinamik maskeleme etkinleştirildiğinde bir tabloya sahip olan kullanıcının süper kullanıcı yetkilerine yükselmesine izin veren bir SQL injection zafiyeti içermektedir. PostgreSQL Anonymizer, kullanıcıların belirli sütunları maskelemek için tablolara güvenlik etiketleri belirlemesine olanak tanır. Değer olarak karmaşık ifadelerin sağlanmasına izin veren bir hata mevcuttur. Bu ifade daha sonra maskelenmiş görünümler oluşturmak için olduğu gibi kullanılır ve bu durum SQL Injection'a yol açar. Dinamik maskeleme etkinse, etiket oluşturulduktan sonra bu durum süper kullanıcıya yetki yükseltme ile sonuçlanacaktır. Bir tabloya sahip olmayan kullanıcılar, özellikle de maskelenmiş kullanıcılar bu zafiyeti istismar edemezler. Sorun v1.3 sürümünde çözülmüştür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dalibo anonymizer | 1.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.