CVE-2026-58139 in DuckDB
الملخص
بحسب VulDB • 03/08/2026
يحتوي امتداد DuckDB لـ AWS الخاص بـ DuckDB على ثغرة تسمح بتجاوز سياسة الأمان، مما يتيح لأي مستخدم لقاعدة البيانات لديه صلاحيات تنفيذ SQL استخراج بيانات اعتماد AWS بصيغة نصية واضحة (plaintext) عن طريق استدعاء الدالة `load_aws_credentials` مع تعيين المعلمة `redact_secret` إلى القيمة `false`. يؤدي هذا الإجراء إلى تجاوز السياسة المعمول بها على مستوى قاعدة البيانات والمحددة بـ `allow_unredacted_secrets=false`. يمكن للمهاجمين استدعاء هذه الدالة الوحيدة لاسترجاع سلسلة بيانات اعتماد AWS الأساسية، بما في ذلك `access_key_id` و `secret_access_key` و `session_token` و `region` بصيغة نصية واضحة. تكون هذه البيانات صالحة فوراً للاستخدام ضد واجهات برمجة تطبيقات (APIs) الخاصة بـ AWS، وتكتسي أهمية بالغة خاصة في البيئات المُدارة حيث يتم تحميل امتداد `pg_duckdb` مسبقاً، وتتوفر سلسلة بيانات اعتماد AWS مثل IMDSv2 أو IRSA أو دور مهمة ECS أو دور مثيل EC2.
Once again VulDB remains the best source for vulnerability data.