PT-2022-2477 · Microsoft+1 · Azure Data Factory+2
Publicado
2022-04-15
·
Atualizado
2022-05-18
·
CVE-2022-29972
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Driver ODBC Magnitude Simba Amazon Redshift, versões 1.4.14 a 1.4.21.1001
Driver ODBC Magnitude Simba Amazon Redshift, versões 1.4.22 a 1.4.x anteriores à 1.4.52
Microsoft Azure Synapse (versões afetadas não especificadas)
Microsoft Azure Data Factory (versões afetadas não especificadas)
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de argumentos no componente de autenticação baseado em navegador do Magnitude Simba Amazon Redshift ODBC Driver, que pode permitir que um usuário local execute código arbitrário. Além disso, há uma vulnerabilidade no Microsoft Azure Synapse e no Azure Data Factory que poderia ter levado a ataques de execução remota de código, permitindo que invasores obtivessem controle de outros espaços de trabalho do Synapse e vazassem dados confidenciais, incluindo chaves de serviço do Azure e tokens de API, bem como senhas para outros serviços.
Recomendações
Para as versões 1.4.14 a 1.4.21.1001 do Magnitude Simba Amazon Redshift ODBC Driver, atualize para uma versão fora desse intervalo para mitigar o risco.
Para as versões 1.4.22 a 1.4.x anteriores à 1.4.52 do Magnitude Simba Amazon Redshift ODBC Driver, atualize para a versão 1.4.52 ou posterior para resolver o problema.
Para o Microsoft Azure Synapse, restrinja o acesso a funções críticas até que um patch esteja disponível.
Para o Microsoft Azure Data Factory, evite usar dados confidenciais, incluindo chaves de serviço do Azure e tokens de API, no componente afetado até que o problema seja resolvido.
No momento, não há
Correção
Missing Authentication
Argument Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Magnitude Simba Amazon Redshift Jdbc Driver
Azure Data Factory
Azure Synapse