CVE-2024-35181

Versões do Meshery anteriores à 0.7.22

Uma vulnerabilidade de injeção de SQL pode permitir a gravação arbitrária de arquivos por meio do uso de uma carga de consulta com injeção de SQL em cadeia e do comando ATTACH DATABASE. Os invasores podem conseguir acessar e modificar quaisquer dados armazenados no banco de dados, incluindo perfis de desempenho, dados da aplicação Meshery ou configuração do Kubernetes. O projeto Meshery expõe a função GetMeshSyncResourcesKinds no endpoint da API “/api/system/meshsync/resources/kinds”. O parâmetro de consulta order é usado diretamente para construir uma consulta SQL em meshync handler.go.

Para versões do Meshery anteriores à 0.7.22, atualize para a versão 0.7.22 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao endpoint da API /api/system/meshsync/resources/kinds até que um patch esteja disponível.

Evite usar o parâmetro de consulta order no endpoint da API afetado até que o problema seja resolvido.