Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-470

CVE-2026-119084

Amazon Redshift JDBC sürücüsünde bağlantı parametreleri üzerinden güvensiz sınıf yükleme

AWS amazon-redshift-jdbc-driver

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
2 gün
Kaydı açan
AMZN

Yönetici özeti

Bu açık, Amazon Redshift veritabanına bağlanan uygulamaların güvenliğini etkileyebilir ve saldırganların sistemleri ele geçirmesine yol açabilir. Etkilenen sürümlerin kullanılması iş sürekliliği ve veri güvenliği açısından yüksek risk taşır. Sürücünün güncellenmesi öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Amazon Redshift JDBC sürücüsünün 2.3.0 öncesi sürümlerinde, bağlantı parametrelerinin ve kimlik bilgisi profilinin işlenmesinde güvensiz yansıma (reflection) kullanımı bulunmaktadır. JDBC bağlantı adresini veya AWS kimlik bilgisi profilini etkileyebilen bir saldırgan, uygulamanın sınıf yolunda (classpath) uygun bir sınıf bulunması durumunda uygulama bağlamında rastgele kod çalıştırabilir. Sorun, sürücüyü kullanan Java uygulamalarını etkilemektedir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın JDBC sürücüsünü çalıştıran uygulamanın yetkileriyle keyfi kod çalıştırmasına ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini etkilemesine olanak tanıyabilir.

Kaynaktaki açıklama (İngilizce)

Unsafe reflection in the connection parameter and credentials profile handling of Amazon Redshift JDBC Driver before 2.3.0 might allow an actor who can influence the JDBC connection URL or the AWS credentials profile to execute arbitrary code in the application context, provided a suitable class is available on the application classpath.

To remediate this issue, users should upgrade to version 2.3.0 or later.

Ne yapmalı?

  1. Amazon Redshift JDBC sürücüsünü 2.3.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Sürücüyü kullanan uygulamaları yeniden derleyin veya yeniden dağıtın ve güncel sürümün yüklendiğini doğrulayın. Genel öneri
  3. Güncelleme yapılana kadar JDBC bağlantı adreslerini ve AWS kimlik bilgisi profili ayarlarını yalnızca güvenilir kaynaklardan gelecek şekilde kısıtlayın. Genel öneri

Ek önlemler

  • Uygulamanın sınıf yoluna gereksiz kütüphaneler eklemeyin; böylece istismar için uygun sınıfların bulunma olasılığı azalır. Genel öneri
  • JDBC bağlantı adreslerini ve kimlik bilgisi profili dosyalarını dışarıdan kullanıcı girdisiyle değiştirilemeyecek şekilde koruyun. Genel öneri
  • Veritabanı bağlantılarında beklenmeyen parametre değişikliklerini ve olağandışı uygulama davranışlarını izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
AWS amazon-redshift-jdbc-driver < 2.3.0 2.3.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.