Расширение DuckDB AWS для DuckDB содержит уязвимость обхода политики безопасности, которая позволяет любому пользователю базы данных с разрешениями на выполнение SQL извлекать учетные данные AWS в виде открытого текста путем вызова функции load_aws_credentials с параметром redact_secret, для которого установлено значение false, в обход общебазовой политикиallow_unredacted_secrets=false. Злоумышленники могут вызвать эту единственную функцию для получения базовой цепочки учетных данных AWS, включая access_key_id, secret_access_key, session_token и регион в открытом тексте, которые немедленно действительны для API AWS и особенно эффективны в управляемых средах, где pg_duckdb предварительно загружен и доступна цепочка учетных данных AWS, такая как IMDSv2, IRSA, роль задачи ECS или роль экземпляра EC2.
Показать оригинальное описание (EN)
The DuckDB AWS extension for DuckDB contains a security policy bypass vulnerability that allows any database user with SQL execution permissions to extract plaintext AWS credentials by calling the load_aws_credentials function with the redact_secret parameter set to false, circumventing the database-wide allow_unredacted_secrets=false policy. Attackers can invoke this single function to retrieve the underlying AWS credential chain including access_key_id, secret_access_key, session_token, and region in plaintext, which are immediately valid against AWS APIs and particularly impactful in managed environments where pg_duckdb is preloaded and an AWS credential chain such as IMDSv2, IRSA, ECS task role, or EC2 instance role is reachable.
Характеристики атаки
Последствия
Строка CVSS v4.0