CVE-2023-49934

SQL Injection w SchedMD Slurm 23.11.x przeciwko bazie SlurmDBD

CVSS 9.8v3.1pub. 2023-12-14upd. 2025-11-04

W systemie kolejkowania zadań SchedMD Slurm w wersji 23.11.x wykryto podatność typu SQL Injection wymierzoną w bazę danych SlurmDBD. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość zdalnego przejęcia kontroli nad bazą danych bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

An issue was discovered in SchedMD Slurm 23.11.x. There is SQL Injection against the SlurmDBD database. The fixed version is 23.11.1.

🤖 Analiza AI

Jak działa

Atakujący może spreparować złośliwe zapytanie zawierające nieoczyszczony kod SQL, które zostanie przekazane do bazy danych SlurmDBD bez odpowiedniej walidacji lub parametryzacji. Ze względu na brak wymagań dotyczących uwierzytelnienia, sieci lokalnej czy interakcji użytkownika (wektor AV:N/AC:L/PR:N/UI:N), exploit może zostać przeprowadzony zdalnie przez dowolnego atakującego mającego dostęp sieciowy do usługi.

Skutki

Skuteczne wykorzystanie podatności może prowadzić do nieautoryzowanego odczytu, modyfikacji lub usunięcia danych w bazie SlurmDBD, a w zależności od konfiguracji serwera bazodanowego — również do przejęcia kontroli nad całym systemem zarządzania zadaniami HPC.

Mitygacja

Należy zaktualizować SchedMD Slurm do wersji 23.11.1, która zawiera poprawkę eliminującą podatność. Aktualizacje dostępne są również w repozytoriach dystrybucji Fedora.

Kogo dotyczy

SchedMD Slurm w wersjach z gałęzi 23.11.x (przed 23.11.1).

Uwagi

Podatność dotyczy komponentu SlurmDBD odpowiedzialnego za rejestrowanie zadań i rozliczenia w środowiskach HPC. Poprawiona wersja to 23.11.1, zgodnie z oficjalnym ogłoszeniem producenta.