Amazon Redshift JDBC 드라이버 안전하지 않은 리플렉션으로 임의 코드 실행 가능
데이터베이스 연결 프로그램을 쓰는 앱에 공격자 프로그램이 실행될 수 있습니다.
요약
Amazon Redshift JDBC 드라이버의 연결 매개변수와 자격 증명 프로파일 처리 결함으로, 연결 URL이나 AWS 프로파일에 영향을 줄 수 있는 공격자가 애플리케이션에서 임의 코드를 실행할 수 있습니다. 2.3.0 이전 버전이 해당합니다.
해당 조건
- 애플리케이션 클래스패스에 적합한 클래스가 있을 것
- 공격자가 JDBC 연결 URL 또는 AWS 자격 증명 프로파일에 영향을 줄 수 있을 것
대처법
2.3.0 이상으로 업데이트하세요. 당장 못 하면 연결 URL과 AWS 자격 증명 프로파일을 신뢰할 수 없는 입력으로 만들지 말고, 허용 목록으로 값을 검증하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인