Datasette 1.0a38、プライベートテーブルが露出するSQLインジェクションを修正
Simon Willisonは、SQLインジェクションの脆弱性を修正したDatasette 1.0a38および0.65.3をリリースした。このバグにより、execute-sql権限が無効化されている場合でも、任意の公開テーブルにアクセスすると、同一データベース内のプライベートテーブルへの読み取り専用アクセスが可能になっていた。同氏は実際の環境でこの設定に遭遇したことはないため影響範囲は小さいとしているが、テーブル単位の権限をプライバシーの境界として利用している環境ではパッチの適用が必要となる。
出典： simonwillison.net ↗
修正されたバグは、いずれかの公開テーブルへのアクセス権を持つユーザーが、その制限にもかかわらずSQLインジェクション攻撃を実行することを可能にし、同じデータベース内のプライベートなテーブルのデータへの読み取り専用アクセスを与えていただろう。
Simon Willison
なぜ重要か
- → SQLインジェクションのバイパスにより、ユーザーは権限制限にもかかわらずプライベートなテーブルを読み取ることが可能になった。
- → Datasetteの権限システムを使用する、公開・非公開が混在するデプロイに影響がある。
- → 稀な構成だが、テーブルごとのプライバシー境界に依存するあらゆるインスタンスにとって極めて重要だ。
権限におけるSQL injection