PT-2026-67493
CVE-2026-58139
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ملحق DuckDB لـ AWS (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة في سياسة الأمان تسمح لأي مستخدم قاعدة بيانات لديه أذونات تنفيذ SQL باستخراج بيانات اعتماد AWS بنص عادي. من خلال استدعاء الدالة
load aws credentials() وتعيين المعلمة redact secret على القيمة false، يمكن للمستخدم التحايل على سياسة allow unredacted secrets=false المطبقة على مستوى قاعدة البيانات بأكملها. وهذا يسمح باسترداد سلسلة بيانات اعتماد AWS، بما في ذلك access key id وsecret access key وsession token وregion. ويعد هذا الأمر بالغ الأهمية بشكل خاص في البيئات المُدارة حيث يتم تحميل pg duckdb مسبقًا وتكون سلاسل بيانات الاعتماد مثل IMDSv2 أو IRSA أو دور مهمة ECS أو دور مثيل EC2 متاحة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الدالة
load aws credentials() أو قم بتحديد أذونات تنفيذ SQL للمستخدمين غير الموثوق بهم.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾