CVE-2026-29090
Açıklama
Rucio versiyonlarının 1.30.0 ve sonrası ile 35.8.5, 38.5.5, 39.4.2 ve 40.1.1 öncesindeki sürümlerinde, `FilterEngine.create_postgres_query()` fonksiyonunda bir SQL enjeksiyonu zafiyeti bulunmaktadır. Bu durum, kimliği doğrulanmış herhangi bir Rucio kullanıcısının, DID arama uç noktası (`GET /dids/<scope>/dids/search`) üzerinden PostgreSQL meta veri veritabanına karşı rastgele SQL komutları yürütmesine olanak tanır. `postgres_meta` meta veri eklentisi yapılandırıldığında, saldırgan tarafından kontrol edilen filtre anahtarları ve değerleri, Python `.format()` aracılığıyla doğrudan ham SQL dizilerine yerleştirilir ve ardından dizeyi güvenilir SQL sözdizimi olarak değerlendiren `psycopg3`'ün `sql.SQL()` fonksiyonuna aktarılır. Servis hesabına atanan veritabanı ayrıcalıklarına bağlı olarak, bu zafiyetin istismar edilmesi hassas tabloların ifşa olmasına, meta verilerin değiştirilmesine veya silinmesine, sunucu tarafındaki dosyalara erişilmesine veya COPY ... FROM PROGRAM gibi PostgreSQL özellikleri aracılığıyla kod çalıştırılmasına yol açabilir. Bu sorun, açıkça postgres_meta meta veri eklentisini kullanan kurulumları etkilemektedir. Bu zafiyet; 35.8.5, 38.5.5, 39.4.2 ve 40.1.1 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- cern rucio35.8.5, 38.5.5, 39.4.2, 40.1.1 ya da sonraki bir sürüm
- rucio35.8.5, 38.5.5, 39.4.2, 40.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cern rucio | 1.30.0 ≤ v < 35.8.5, 36.0.0 ≤ v < 38.5.5, 39.0.0 ≤ v < 39.4.2, 40.0.0 ≤ v < 40.1.1 | 35.8.5, 38.5.5, 39.4.2, 40.1.1 |
| rucioPyPI | 1.30.0 ≤ v < 35.8.5, 36.0.0 ≤ v < 38.5.5, 39.0.0 ≤ v < 39.4.2, 40.0.0 ≤ v < 40.1.1 | 35.8.5, 38.5.5, 39.4.2, 40.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.