CVE-2024-27304
Açıklama
pgx, Go için bir PostgreSQL sürücüsü ve araç setidir. Bir saldırganın tek bir sorgunun veya bağlama (bind) mesajının boyutunun 4 GB'ı aşmasına neden olması durumunda SQL enjeksiyonu meydana gelebilir. Hesaplanan mesaj boyutundaki bir tam sayı taşması (integer overflow), tek bir büyük mesajın saldırganın kontrolündeki birden fazla mesaj olarak gönderilmesine yol açabilir. Sorun v4.18.2 ve v5.5.4 sürümlerinde çözülmüştür. Geçici bir çözüm olarak, tek bir sorgunun veya bağlama mesajının 4 GB boyutu aşmasına neden olacak kadar büyük kullanıcı girişlerini reddedin.
Nasıl düzeltilir
- jackc pgproto32.3.3 ya da sonraki bir sürüm
- jackc pgx4.18.2, 5.5.4 ya da sonraki bir sürüm
- github.com/jackc/pgproto32.3.3 ya da sonraki bir sürüm
- github.com/jackc/pgproto3/v22.3.3 ya da sonraki bir sürüm
- github.com/jackc/pgx4.18.2, 5.5.4 ya da sonraki bir sürüm
- github.com/jackc/pgx/v44.18.2 ya da sonraki bir sürüm
- github.com/jackc/pgx/v55.5.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jackc pgproto3 | v < 2.3.3 | 2.3.3 |
| jackc pgx | v < 4.18.2, 5.0.0 ≤ v < 5.5.4 | 4.18.2, 5.5.4 |
| github.com/jackc/pgproto3Go | v < 2.3.3 | 2.3.3 |
| github.com/jackc/pgproto3/v2Go | v < 2.3.3 | 2.3.3 |
| github.com/jackc/pgxGo | v < 4.18.2, 5.0.0 ≤ v < 5.5.4, Aralık belirtilmemiş | 4.18.2, 5.5.4 |
| github.com/jackc/pgx/v4Go | v < 4.18.2 | 4.18.2 |
| github.com/jackc/pgx/v5Go | 5.0.0 ≤ v < 5.5.4 | 5.5.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.