Neurowinter

**Nome do Software Vulnerável e Versões Afetadas** Versões do Vitess anteriores à 23.0.3 Versões do Vitess anteriores à 22.0.4 **Descrição** O Vitess é um sistema de clustering de banco de dados para escalonamento horizontal do MySQL. Existe uma falha na qual alguém com acesso de leitura/escrita ao local de armazenamento do backup pode manipular arquivos de manifesto de backup, levando à execução arbitrária de código quando o backup é restaurado. Isso pode conceder a um invasor acesso não autorizado ao ambiente de implantação de produção, permitindo-lhe acessar informações e executar comandos arbitrários. **Recomendações** Atualize para a versão 23.0.3 ou posterior do Vitess. Atualize para a versão 22.0.4 ou posterior do Vitess. Se estiver usando um descompressor externo, especifique o comando do descompressor usando a flag `--external-decompressor` para `vttablet` e `vtbackup`. Se não estiver usando um descompressor externo ou interno, especifique um comando inofensivo, como `cat` ou `tee`, no valor da flag `--external-decompressor` para `vttablet` e `vtbackup`.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Vitess anteriores a 23.0.3 e anteriores a 22.0.4 **Descrição** O Vitess, um sistema de agrupamento de bancos de dados para escalabilidade horizontal do MySQL, apresenta uma vulnerabilidade de travessia de caminho no componente `builtinbackupengine` durante o processo de restauração de backup. Um atacante com acesso de leitura/escrita ao local de armazenamento de backup (como um bucket S3) pode manipular os arquivos de manifesto de backup. Essa manipulação permite que ele escreva arquivos em locais arbitrários durante uma operação de restauração, possivelmente obtendo acesso não autorizado ou não pretendido ao ambiente de implantação de produção. Esse acesso poderia permitir ao atacante acessar informações sensíveis e executar comandos arbitrários. A vulnerabilidade surge de uma validação inadequada de caminhos de arquivos dentro do manifesto de backup. **Recomendações** Versões anteriores a 23.0.3 devem ser atualizadas para a versão 23.0.3 ou posterior. Versões anteriores a 22.0.4 devem ser atualizadas para a versão 22.0.4 ou posterior.