Products.SQLAlchemyDA vulnerable a la ejecución arbitraria de consultas SQL no autenticada

La inyección SQL en SQLAlchemyDA representa un riesgo crítico para la seguridad de las aplicaciones que utilizan esta biblioteca. Un atacante podría explotar esta vulnerabilidad para acceder, modificar o eliminar datos confidenciales almacenados en la base de datos. Además, podrían utilizar la base de datos como punto de partida para realizar ataques a otros sistemas dentro de la red, obteniendo acceso no autorizado a información sensible y comprometiendo la integridad de la aplicación. La falta de autenticación necesaria para la explotación amplifica significativamente el impacto potencial.

Applications and systems utilizing SQLAlchemyDA versions 2.2 and earlier are at risk. This includes Python applications that rely on SQLAlchemyDA for database interactions, particularly those handling sensitive data or operating in environments with limited security controls. Any system where SQLAlchemyDA is used without proper input validation is potentially vulnerable.

• python / server:

import sqlalchemy
import os

def check_sqlalchemyda_version():
    try:
        import sqlalchemy_utils
        version = sqlalchemy_utils.__version__
        print(f"SQLAlchemyDA version: {version}")
        if version <= '2.2':
            print("VULNERABLE: Upgrade to version 2.3 or later.")
        else:
            print("Not vulnerable.")
    except ImportError:
        print("SQLAlchemyDA not installed.")

check_sqlalchemyda_version()

1. 2024-02-07Disclosure

   disclosure

1. Reservado2024-01-31
2. Publicada2024-02-07
3. Modificada2025-05-15
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-24811 es actualizar SQLAlchemyDA a la versión 2.2 o superior. Dado que no hay una solución alternativa, la actualización es esencial. Si la actualización inmediata no es posible, se recomienda revisar cuidadosamente el código de la aplicación para identificar y validar todas las entradas de usuario que se utilizan en consultas SQL. Implementar una validación estricta de las entradas puede ayudar a reducir el riesgo, aunque no elimina completamente la vulnerabilidad. Después de la actualización, verificar la integridad de la base de datos y los permisos de acceso.