جزئیات آسیب‌پذیری

CVE-2024-12745

Amazon Redshift Python Connector

SQL Injection in the Amazon Redshift Python Connector affecting v2.1.4

CVSS 4.0

8.6بالا

شرح رسمی (انگلیسی)

A SQL injection in the Amazon Redshift Python Connector v2.1.4 allows a user to gain escalated privileges via the get_schemas, get_tables, or get_columns Metadata APIs. Users are recommended to upgrade to the driver version 2.1.5 or revert to driver version 2.1.3.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.6بالا	4.0	CVEProject cvelistV5 (CNA) (AMZN)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
8.0بالا	3.1	CVEProject cvelistV5 (CNA) (AMZN)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Amazon	Amazon Redshift Python Connector	2.1.4	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/aws/amazon-redshift-python-driver/security/advisories/GHSA-8gc2-vq6m-rwjw vendor-advisory
https://aws.amazon.com/security/security-bulletins/AWS-2024-015/ vendor-advisory
https://github.com/aws/amazon-redshift-python-driver/releases/tag/v2.1.5 patch

کانال تلگرام کُلون @kolunsec_fa تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۳/۱۰/۰۴
آخرین به‌روزرسانی: ۱۴۰۴/۰۷/۲۲
وضعیت: منتشرشده
صادرکننده (CNA): AMZN

پیش‌بینی بهره‌برداری (EPSS)

۰٫۵۲٪

احتمال بهره‌برداری در ۳۰ روز

۴۴٫۸٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-89
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')