// For flags

CVE-2024-32888

Amazon JDBC Driver for Redshift SQL Injection via line comment generation

Severity Score

10.0
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

0
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

Attend
*SSVC
Descriptions

The Amazon JDBC Driver for Redshift is a Type 4 JDBC driver that provides database connectivity through the standard JDBC application program interfaces (APIs) available in the Java Platform, Enterprise Editions. Prior to version 2.1.0.28, SQL injection is possible when using the non-default connection property `preferQueryMode=simple` in combination with application code which has a vulnerable SQL that negates a parameter value. There is no vulnerability in the driver when using the default, extended query mode. Note that `preferQueryMode` is not a supported parameter in Redshift JDBC driver, and is inherited code from Postgres JDBC driver. Users who do not override default settings to utilize this unsupported query mode are not affected. This issue is patched in driver version 2.1.0.28. As a workaround, do not use the connection property `preferQueryMode=simple`. (NOTE: Those who do not explicitly specify a query mode use the default of extended query mode and are not affected by this issue.)

El controlador Amazon JDBC para Redshift es un controlador JDBC de tipo 4 que proporciona conectividad de bases de datos a través de las interfaces de programas de aplicación (API) JDBC estándar disponibles en Java Platform, Enterprise Editions. Antes de la versión 2.1.0.28, la inyección SQL es posible cuando se usa la propiedad de conexión no predeterminada `preferQueryMode=simple` en combinación con código de aplicación que tiene un SQL vulnerable que niega el valor de un parámetro. No hay vulnerabilidad en el controlador cuando se utiliza el modo de consulta extendido predeterminado. Tenga en cuenta que `preferQueryMode` no es un parámetro admitido en el controlador JDBC de Redshift y es un código heredado del controlador JDBC de Postgres. Los usuarios que no anulen la configuración predeterminada para utilizar este modo de consulta no compatible no se verán afectados. Este problema se solucionó en la versión del controlador 2.1.0.28. Como workaround, no utilice la propiedad de conexión `preferQueryMode=simple`. (NOTA: Aquellos que no especifican explícitamente un modo de consulta utilizan el modo de consulta extendido predeterminado y no se ven afectados por este problema).

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
None
User Interaction
None
Scope
Changed
Confidentiality
High
Integrity
High
Availability
High
* Common Vulnerability Scoring System
SSVC
  • Decision:Attend
Exploitation
None
Automatable
Yes
Tech. Impact
Total
* Organization's Worst-case Scenario
Timeline
  • 2024-04-19 CVE Reserved
  • 2024-05-15 CVE Published
  • 2024-05-15 EPSS Updated
  • 2024-08-02 CVE Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
  • ---------- First Exploit
CWE
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Aws
Search vendor "Aws"
 Amazon-redshift-jdbc-driver
Search vendor "Aws" for product "Amazon-redshift-jdbc-driver"
 < 2.1.0.28
Search vendor "Aws" for product "Amazon-redshift-jdbc-driver" and version " < 2.1.0.28"
en
Affected