GHSA-q6gm-xfw-44f5: Unauthenticated replication endpoint leaks internal PostgreSQL replication telemetry in Supabase

漏洞概述 漏洞名称: Unauthenticated /replication endpoint leaks internal PostgreSQL replication telemetry (slot names + WAL LSNs) 漏洞ID: GHSA-q6gm-xfw-44f5 发布者: ridxex 发布日期: Mar 3 严重程度: Low 描述 Summary GET 是公开可访问的（无需认证），并返回详细的内部 PostgreSQL 复制槽遥测数据，包括复制槽名称和 WAL LSN 位置（confirmed_flush_lsn, restart_lsn）。这暴露了敏感的运营/基础设施细节，并提供了一个外部健康检查接口。 Details 在 中，该路由仅定义了 CORS： 没有应用认证中间件。 响应包括： （内部命名揭示了后端组件/提供者/区域） 和 （WAL 位置） 每个槽的指标和整体状态 此外，错误处理程序被设计为向客户端返回数据库错误字段（ , , , ），如果发生异常，这增加了信息泄露风险。 POC Observed Result (example) HTTP 200 with JSON containing internal telemetry, e.g.: : planetscale_subscription__supabase_realtime : E0C/... : E0C/... Impact 信息泄露，有助于基础设施侦察（内部槽名称、组件、提供者/区域提示） WAL 复制状态（LSNs）的披露 外部健康检查接口（响应代码可能是 200 或 503，取决于滞后阈值） Recommended Fix 限制复制仅限经过认证的管理员访问或 IP 白名单（内部监控），或 如果公共健康检查端点是必需的，仅返回最少的状态（例如， ）并移除槽名称、LSNs 和详细遥测数据。 不要向客户端返回原始数据库错误字段（ , ）。 影响范围 受影响版本: < 12.128.2 修复版本: 12.128.2 修复方案 限制复制仅限经过认证的管理员访问或 IP 白名单（内部监控），或 如果公共健康检查端点是必需的，仅返回最少的状态（例如， ）并移除槽名称、LSNs 和详细遥测数据。 不要向客户端返回原始数据库错误字段（ , ）。

Goal Reached Thanks to every supporter — we hit 100%!

GHSA-q6gm-xfw-44f5: Unauthenticated replication endpoint leaks internal PostgreSQL replication telemetry in Supabase

More from this source