2019-0549: SQLAlchemy, Python: Zwei Schwachstellen ermöglichen die Ausführung beliebiger SQL-Kommandos

Historie:

Version 1 (2019-03-18 19:00): Neues Advisory
Version 2 (2019-05-07 15:28): Für Red Hat Enterprise Linux 8 stehen Sicherheitsupdates für das 'python36:3.6 module' bereit. Die Updates stehen unter anderem für Red Hat Enterprise Linux for ARM 64 8 und Red Hat Enterprise Linux for x86_64 8 zur Verfügung.
Version 3 (2019-08-06 12:46): Für Oracle Linux 8 (aarch64, x86_64) werden die beiden Schwachstellen mittels Sicherheitsupdates für 'python36:3.6' behoben.
Version 4 (2019-08-26 12:35): Für SUSE Linux Enterprise Module for Open Buildservice Development Tools 15 steht ein Sicherheitsupdate für 'python-SQLAlchemy' bereit, um die beiden Schwachstellen zu beheben.
Version 5 (2019-08-30 13:11): Für SUSE Linux Enterprise Module for Open Buildservice Development Tools 15 SP1 und SUSE Linux Enterprise Module for Basesystem 15 SP1 stehen Sicherheitsupdates für 'python-SQLAlchemy' bereit, um die beiden Schwachstellen zu beheben.
Version 6 (2019-09-02 14:18): Für openSUSE Leap 15.0 steht ein Sicherheitsupdate für 'python-SQLAlchemy' zur Behebung der Schwachstellen zur Verfügung.
Version 7 (2019-09-02 16:51): Für SUSE OpenStack Cloud Crowbar 8 und SUSE OpenStack Cloud 8 stehen Sicherheitsupdates für 'python-SQLAlchemy' zur Verfügung, um die Schwachstellen zu beheben.
Version 8 (2019-09-04 16:35): Für die Distribution openSUSE Leap 15.1 stellt openSUSE ein Sicherheitsupdate für 'python-SQLAlchemy' bereit, um die beiden referenzierten Schwachstellen zu beheben.
Version 9 (2019-09-06 18:30): Für openSUSE Backports SLE 15 steht ein Sicherheitsupdate für 'python-SQLAlchemy' bereit, um die beiden referenzierten Schwachstellen zu beheben.
Version 10 (2019-09-11 12:40): Für SUSE OpenStack Cloud 7 und SUSE Enterprise Storage 4 stehen Sicherheitsupdates für 'python-SQLAlchemy' zur Verfügung, um die Schwachstellen zu beheben.
Version 11 (2019-09-13 13:17): Für SUSE OpenStack Cloud Crowbar 9 und SUSE OpenStack Cloud 9 stehen Sicherheitsupdates für 'python-SQLAlchemy' zur Verfügung, um die Schwachstellen zu beheben.
Version 12 (2019-09-20 11:59): Für SUSE Linux Enterprise Module for Packagehub Subpackages 15 SP1 steht ein Sicherheitsupdate für 'python-SQLAlchemy' zur Verfügung, um die Schwachstellen zu beheben.
Version 13 (2021-11-08 10:39): Für Debian 9 Stretch (LTS) steht ein Sicherheitsupdate für 'sqlalchemy' in Version 1.0.15+ds1-1+deb9u1 bereit, um die Schwachstellen zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Netzwerk
Cloud
Linux
Oracle

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen in SQLAlchemy ausnutzen, um über verschiedene Parameter beliebige SQL-Statements einzuschleusen und in der Folge zur Ausführung zu bringen.

Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate für 'sqlalchemy' zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2019-7164

Schwachstelle in SQLAlchemy ermöglicht SQL-Injektion

CVE-2019-7548