CVE-2023-38699
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
MindsDB's AI Virtual Database przed wersją 23.7.4.0 pozwalał na wyłączenie weryfikacji certyfikatów SSL przy użyciu `verify=False`. W wersji 23.7.4.0 weryfikacja certyfikatów SSL jest domyślnie włączona, co jest pożądanym zachowaniem.
Ocena ryzyka
Brak weryfikacji certyfikatów SSL może prowadzić do ataków typu man-in-the-middle, co stwarza poważne zagrożenie dla bezpieczeństwa danych przesyłanych między aplikacją a źródłem danych.
Rekomendacja
Zaleca się aktualizację do wersji 23.7.4.0 lub nowszej, aby zapewnić domyślną weryfikację certyfikatów SSL.
Oryginalny opis (angielski, źródło NVD)
MindsDB's AI Virtual Database allows developers to connect any AI/ML model to any datasource. Prior to version 23.7.4.0, a call to requests with `verify=False` disables SSL certificate checks. This rule enforces always verifying SSL certificates for methods in the Requests library. In version 23.7.4.0, certificates are validated by default, which is the desired behavior.