CVE-2024-41672
Açıklama
DuckDB bir SQL veritabanı yönetim sistemidir. 1.0.0 ve önceki sürümlerde, `enable_external_access=false` olsa dahi, dosya sistemindeki içeriğe `sniff_csv` kullanılarak okuma erişimi sağlanabilmektedir. Bu güvenlik açığı, erişimin devre dışı bırakılmasının beklendiği ve diğer benzer fonksiyonların erişim sağlamadığı durumlarda bile saldırgana dosya sistemine erişim imkanı tanır. Bu zafiyet için iki vektör bulunmaktadır. Birincisi, normalde izin verilmemesi gereken dosyalara erişimdir. İkincisi, `sniff_csv` fonksiyonunun amacı bu görünmese de, bir dosyanın içeriğinin (örneğin `/etc/hosts`, `proc/self/environ` vb.) okunabilmesidir. Bu sorun için düzeltme c9b7c98aa0e1cd7363fe8bb8543a95f38e980d8a commit'inde mevcuttur ve sürüm 1.1.0'ın bir parçası olması beklenmektedir.
Nasıl düzeltilir
- duckdb duckdb1.1.0 ya da sonraki bir sürüm
- duckdb1.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| duckdb duckdb | v < 1.1.0 | 1.1.0 |
| duckdbPyPI | 1.0.0 ≤ v < 1.1.0, v < 1.1.0 | 1.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.