com.amazon.redshift:redshift-jdbc42 vulnerable to remote command execution
Impact
A potential remote command execution issue exists within redshift-jdbc42 versions 2.1.0.7 and below. When plugins are used with the driver, it instantiates plugin instances based on Java class names provided via the sslhostnameverifier, socketFactory, sslfactory, and sslpasswordcallback connection properties. In affected versions, the driver does not verify if a plugin class implements the expected interface before instantiatiaton. This can lead to loading of arbitrary Java classes, which a knowledgeable attacker with control over the JDBC URL can use to achieve remote code execution.
Patches
This issue is patched within redshift-jdbc-42 2.1.0.8 and above.
Workarounds
We advise customers using plugins to upgrade to redshift-jdbc42 version 2.1.0.8 or above. There are no known workarounds for this issue.
For more information
If you have any questions or comments about this advisory, please contact AWS Security at aws-security@amazon.com.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | com.amazon.redshift:redshift-jdbc42 | < 2.1.0.8 | 2.1.0.8 |
Odnośniki
- https://github.com/aws/amazon-redshift-jdbc-driver/security/advisories/GHSA-jc69-hjw2-fm86
- https://nvd.nist.gov/vuln/detail/CVE-2022-41828
- https://github.com/aws/amazon-redshift-jdbc-driver/commit/40b143b4698faf90c788ffa89f2d4d8d2ad068b5
- https://github.com/aws/amazon-redshift-jdbc-driver/commit/9999659bbc9f3d006fb02a0bf39d5bcf3b503605
- https://github.com/aws/amazon-redshift-jdbc-driver
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:L- Słabość (CWE)
CWE-704- Platforma
- Java / Kotlin (Maven)
- Paczka
com.amazon.redshift:redshift-jdbc42- Ujawniono
- 12.10.2022
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-jc69-hjw2-fm86 - CC BY 4.0
Historia podatności: com.amazon.redshift:redshift-jdbc42
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 4
- Pierwsza → ostatnia
- 10.2022 05.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Wysoka 2
Ujawnienia w latach
- 2022: 1
- 2023: 0
- 2024: 2
- 2025: 0
- 2026: 1
-
com.amazon.redshift:redshift-jdbc42 vulnerable to remote command execution ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.