注目★★★★★GitHub Advisory
tokio-postgres に DoS 脆弱性、不正なデータ行でタスク停止
30秒で把握
- 1tokio-postgres に行フィールド数不一致時のパニック脆弱性・try_get や Row でタスク異常終了
- 2悪意あるサーバまたは中間者攻撃時に発動・信頼できる DB のみの接続は回避可能
- 3untrusted サーバ接続環境のチームは即座にアップデートと接続先検証を実施
要約
tokio-postgres は、宣言列数より少ないフィールド数の行データを受け取るとパニックする脆弱性を持つ。悪意のあるサーバまたは中間者攻撃により、欠落カラムへのアクセス時にアプリケーションタスクが異常終了する。非パニック系の try_get メソッドと Row、SimpleQueryRow の両方が影響を受ける。信頼できるデータベースのみに接続するアプリケーションは対象外だが、ユーザ供給サーバや中間者が介入可能な接続環境では危険性が高い。
あなたへの影響
自社管理外のデータベース (SaaS / クラウド連携 / ユーザ生成値) を tokio-postgres で読み込むチームは。
推奨：最新版へのアップデート + 接続先の信頼性確認を近日中に実施し、本番環境での切断・復旧シーケンスをテストすべき。