AWS高级NodeJS包装器：Aurora PostgreSQL实例中的权限提升漏洞
漏洞详情
漏洞描述： AWS Amazon Aurora PostgreSQL包装器存在一个可能允许权限提升至rds_superuser角色的问题。低权限认证用户可以创建一个精心构造的函数，该函数可能以其他Amazon关系数据库服务（RDS）用户的权限执行。
AWS建议客户升级到以下版本：AWS NodeJS包装器v2.0.1。
漏洞报告来源： Allistair Ishmael Hakim allistair.hakim@gmail.com
受影响产品和版本： AWS NodeJS包装器 < 2.0.1
受影响平台： MacOS/Windows/Linux
技术信息
严重程度：高
CVSS评分：8.0/10
CVSS v3基础指标：
- 攻击向量：网络
- 攻击复杂度：低
- 所需权限：低
- 用户交互：需要
- 范围：未改变
- 机密性：高
- 完整性：高
- 可用性：高
弱点类型： CWE-470 - 使用外部控制输入来选择类或代码（“不安全反射”）
参考信息
- GHSA-8wj8-cfxr-9374
- aws/aws-advanced-nodejs-wrapper#574
- https://github.com/aws/aws-advanced-nodejs-wrapper/releases/tag/2.0.1
解决方案
已修复版本：2.0.1
建议措施：立即升级到AWS NodeJS包装器v2.0.1或更高版本