CVE-2026-12717
KrytyczneCVSS 9.4Streszczenie
Podatność polegająca na nieprawidłowej walidacji danych wejściowych w integracji sterownika JDBC CData w Google Cloud BigQuery Data Transfer Service w wersjach wcześniejszych niż 2026-05-01 na Google Cloud Platform pozwala uwierzytelnionemu atakującemu osiągnąć zdalne wykonanie kodu w kontenerze łącznika i eskalować uprawnienia w projekcie dzierżawcy przy użyciu spreparowanych parametrów ciągu połączenia JDBC. Podatność została załatana 1 maja 2026 r. i nie jest wymagane żadne działanie klienta.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod w kontenerze łącznika i eskalować uprawnienia w projekcie, co może prowadzić do naruszenia danych i zasobów w chmurze.
Rekomendacja
Nie jest wymagane działanie klienta, ponieważ poprawka została już zastosowana przez Google Cloud. Upewnij się, że usługa korzysta z najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
An Improper Input Validation vulnerability in CData JDBC driver integration in Google Cloud BigQuery Data Transfer Service versions prior to 2026-05-01 on Google Cloud Platform allows an authenticated attacker to achieve remote code execution in the connector container and escalate privileges in the tenant project using crafted JDBC connection string parameters. This vulnerability was patched on 1 May 2026, and no customer action is needed.