CVE-2026-27969
Açıklama
Vitess, MySQL'in yatay ölçeklendirmesi için bir veritabanı kümeleme sistemidir. 23.0.3 ve 22.0.4 versiyonlarından önce, yedekleme depolama konumuna (örneğin bir S3 bucket) okuma/yazma erişimi olan herhangi bir kişi, yedekleme manifest dosyalarını manipüle ederek; manifest içindeki dosyaların (bunlar saldırganın manifeste ve yedek içeriklerine eklediği dosyalar da olabilir) geri yükleme sırasında erişilebilir herhangi bir konuma yazılmasını sağlayabilir. Bu yaygın bir path traversal güvenlik sorunudur. Bu durum, saldırgana üretim dağıtım ortamına istenmeyen/yetkisiz erişim sağlamak için kullanılabilir; bu da onların söz konusu ortamda mevcut olan bilgilere erişmelerine ve orada herhangi bir ek rastgele komut çalıştırmalarına olanak tanır. 23.0.3 ve 22.0.4 versiyonları bir yama içermektedir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- linuxfoundation vitess22.0.4, 23.0.3 ya da sonraki bir sürüm
- vitess.io/vitess0.23.3, 0.22.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation vitess | v < 22.0.4, 23.0.0 ≤ v < 23.0.3 | 22.0.4, 23.0.3 |
| vitess.io/vitessGo | 0.23.0-rc1 ≤ v < 0.23.3, v < 0.22.4 | 0.23.3, 0.22.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.