CVE-2026-58139 in DuckDB
Zusammenfassung
von VulDB • 03.08.2026
Die DuckDB-Erweiterung für AWS enthält eine Sicherheitsrichtlinien-Umgehungsschwachstelle (Security Policy Bypass), die jedem Datenbankbenutzer mit SQL-Ausführungsberechtigungen ermöglicht, Klartext-AWS-Anmeldeinformationen durch Aufrufen der Funktion `load_aws_credentials` mit dem Parameter `redact_secret=false` zu extrahieren und dabei die datenbankweite Richtlinie `allow_unredacted_secrets=false` zu umgehen. Angreifer können diese einzelne Funktion aufrufen, um die zugrunde liegende AWS-Anmeldeinformationskette einschließlich `access_key_id`, `secret_access_key`, `session_token` und Region im Klartext abzurufen; diese sind sofort gegen AWS-APIs gültig und haben insbesondere in verwalteten Umgebungen eine hohe Auswirkung, wenn pg_duckdb vorgeladen wird und eine AWS-Anmeldeinformationskette wie IMDSv2, IRSA, ECS-Task-Rolle oder EC2-Instanzrolle erreichbar ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.