PT-2024-24941 · Amazon · Amazon Redshift Jdbc Driver

Paul-Gerste-Sonarsource · Publicado 2024-02-21 · Atualizado 2025-06-12 · CVE-2024-32888

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do driver JDBC do Amazon Redshift anteriores à 2.1.0.28

Descrição

A vulnerabilidade permite a injeção de SQL ao usar a propriedade de conexão não padrão preferQueryMode=simple em combinação com código de aplicativo que contenha uma instrução SQL vulnerável que anule o valor de um parâmetro. Não há vulnerabilidade no driver ao usar o modo de consulta padrão, que é o modo estendido. A propriedade preferQueryMode não é um parâmetro suportado no driver JDBC do Redshift e é um código herdado do driver JDBC do Postgres. Os usuários que não substituírem as configurações padrão para utilizar esse modo de consulta não suportado não são afetados.

Recomendações

Para versões do driver JDBC do Amazon Redshift anteriores à 2.1.0.28, não use a propriedade de conexão preferQueryMode=simple para mitigar o problema.

Atualize para a versão 2.1.0.28 ou posterior para corrigir o problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-32888

GHSA-24RP-Q3W6-VC56

GHSA-X3WM-HFFR-CHWM

Produtos afetados

Amazon Redshift Jdbc Driver

Referências · 23

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32888.json · Exploit
• https://github.com/pgjdbc/pgjdbc/security/advisories/GHSA-24rp-q3w6-vc56 · Nota
• https://github.com/pgjdbc/pgjdbc · Nota
• https://github.com/pgjdbc/pgjdbc/commit/06abfb78a627277a580d4df825f210e96a4e14ee · Nota
• https://github.com/pgjdbc/pgjdbc/commit/93b0fcb2711d9c1e3a2a03134369738a02a58b40 · Nota
• https://github.com/aws/amazon-redshift-jdbc-driver · Nota
• https://github.com/aws/amazon-redshift-jdbc-driver/commit/12a5e8ecfbb44c8154fc66041cca2e20ecd7b339 · Nota
• https://github.com/aws/amazon-redshift-jdbc-driver/security/advisories/GHSA-x3wm-hffr-chwm · Nota
• https://github.com/aws/amazon-redshift-jdbc-driver/commit/0d354a5f26ca23f7cac4e800e3b8734220230319 · Nota
• https://github.com/aws/amazon-redshift-jdbc-driver/commit/bc93694201a291493778ce5369a72befeca5ba7d · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-32888 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-1597 · Nota de Segurança
• https://twitter.com/Dinosn/status/1791297201685049764 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x3wm-hffr-chwm · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-32888 · Aviso do Fabricante