# Mitigation — CVE-2026-8838

Ce document détaille les mesures de remédiation et de protection contre la vulnérabilité CVE-2026-8838 affectant le connecteur Python Amazon Redshift.

---

## 1. Correctif officiel — Mise à jour immédiate (Priorité : CRITIQUE)

La mesure principale et suffisante est la **mise à jour vers la version 2.1.14 ou supérieure** du driver.

```bash
# Mise à jour
pip install --upgrade amazon-redshift-python-driver

# Vérification de la version installée
pip show amazon-redshift-python-driver | grep Version
# Attendu : Version: 2.1.14 ou supérieure
```

Dans un environnement avec `requirements.txt` :

```
# requirements.txt
amazon-redshift-python-driver>=2.1.14
```

---

## 2. Validation TLS/SSL — Empêcher les attaques MitM

La faille est également exploitable via un attaquant MitM (Man-in-the-Middle). Configurer TLS correctement réduit considérablement ce vecteur.

```python
import redshift_connector

conn = redshift_connector.connect(
    host="your-cluster.redshift.amazonaws.com",
    database="dev",
    user="user",
    password="password",
    ssl=True,
    sslmode="verify-full",   # Vérifie le certificat ET le hostname
)
```

| `sslmode` | Protection MitM |
|---|---|
| `disable` | ❌ Aucune |
| `require` | ⚠️ Chiffrement mais pas de vérification du certificat |
| `verify-ca` | ✅ Vérifie l'autorité de certification |
| `verify-full` | ✅✅ Vérifie CA + hostname (recommandé) |

---

## 3. Isolation réseau

Limiter les machines pouvant se connecter à Redshift via les règles réseau AWS :

- **VPC Security Groups** : n'autoriser que les IPs/plages IP légitimes sur le port 5439
- **VPC Endpoint** : utiliser un endpoint privé pour éviter tout transit par Internet
- **NACLs** : règles supplémentaires au niveau du sous-réseau

```hcl
# Exemple Terraform — Security Group restrictif
resource "aws_security_group_rule" "redshift_ingress" {
  type        = "ingress"
  from_port   = 5439
  to_port     = 5439
  protocol    = "tcp"
  cidr_blocks = ["10.0.0.0/8"]  # Uniquement le réseau interne
  security_group_id = aws_security_group.redshift.id
}
```

---

## 4. Détection et surveillance

### Vérifier la version du driver en production

```python
import redshift_connector
from packaging import version

SAFE_VERSION = "2.1.14"
installed = redshift_connector.__version__

if version.parse(installed) < version.parse(SAFE_VERSION):
    raise RuntimeError(
        f"[SÉCURITÉ] Driver vulnérable détecté : {installed}. "
        f"Mettre à jour vers >= {SAFE_VERSION}"
    )
```

### Règle de détection SIEM (Sigma)

```yaml
title: CVE-2026-8838 — Redshift Driver Vulnerable Version
status: stable
description: Détecte l'utilisation d'une version vulnérable du driver Amazon Redshift Python
logsource:
  category: process_creation
detection:
  selection:
    CommandLine|contains:
      - 'amazon-redshift-python-driver'
  filter:
    CommandLine|contains:
      - '2.1.14'
      - '2.1.15'
  condition: selection and not filter
falsepositives:
  - Environnements de développement intentionnellement non patchés
level: high
```

---

## 5. Audit des dépendances

Intégrer la vérification des vulnérabilités dans la CI/CD :

```bash
# pip-audit
pip install pip-audit
pip-audit

# Safety
pip install safety
safety check

# Snyk
snyk test
```

---

## Résumé des priorités

| Priorité | Action | Délai recommandé |
|---|---|---|
| 🔴 Critique | Mettre à jour vers >= 2.1.14 | Immédiat |
| 🔴 Critique | Activer `sslmode=verify-full` | Immédiat |
| 🟠 Haute | Restreindre l'accès réseau (VPC/SG) | < 24h |
| 🟡 Moyenne | Intégrer pip-audit en CI/CD | < 1 semaine |
| 🟢 Basse | Déployer les règles SIEM | < 1 mois |