🇰🇷 한글 설명
AWS CDK의 @aws-cdk/aws-redshift-alpha 모듈(2.274.0-alpha.0 이전 버전)에 있는 데이터베이스 쿼리 커스텀 리소스 핸들러에서 SQL 인젝션 취약점이 발견되었습니다. 구성 속성 값에 영향을 줄 수 있는 제3자가 Redshift 슈퍼유저 권한으로 SQL 문을 실행할 수 있으며, 이를 통해 모든 클러스터 사용자에게 접근 권한을 부여할 수 있습니다. 해당 구문은 조작된 사용자 이름, 주석 또는 비밀번호를 통해 도달할 수 있습니다.
💡 쉬운 설명
AWS 인프라를 코드로 관리하는 도구(CDK)의 Redshift 모듈에 결함이 있어, 악의적인 사람이 입력값을 조작하면 데이터베이스 최고 관리자 권한을 얻을 수 있습니다. 이 경우 데이터베이스의 모든 사용자에게 접근 권한을 줄 수 있습니다.
🇺🇸 원문 (English)
SQL injection in the database-query custom resource handlers in the Amazon Web Services (AWS) Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha module before 2.274.0-alpha.0 could allow a third party who can influence construct property values to run SQL statements with Amazon Redshift superuser privileges, including granting access to all cluster users. The statements are reachable through crafted user names, comments, or passwords.
To remediate this issue, users should upgrade to version 2.274.0-alpha.0 or later and review existing table grants to PUBLIC.
📍 영향받는 시스템
@aws-cdk/aws-redshift-alpha 2.274.0-alpha.0 미만 버전을 사용하는 AWS CDK 프로젝트 및 Amazon Redshift 클러스터
⚔️ 공격 벡터
사용자 이름, 주석 또는 비밀번호 등 구성 속성 값에 조작된 SQL 구문을 삽입하여 Redshift 슈퍼유저 권한으로 실행
🛡️ 대응 방법
@aws-cdk/aws-redshift-alpha를 2.274.0-alpha.0 이상으로 업그레이드하고 PUBLIC에 부여된 기존 테이블 권한을 검토
🔧 검증 코드
출력된 버전이 2.274.0-alpha.0 미만이면 취약하므로 업그레이드가 필요하며, 아무것도 출력되지 않으면 해당 모듈을 사용하지 않는 것입니다.
npm ls @aws-cdk/aws-redshift-alpha 2>/dev/null | grep aws-redshift-alpha