ob_session 越权问题

问题现象

普通租户查询 gv$ob_session 视图可以看到其他租户的 session 信息。

obclient> select distinct TENANT from oceanbase.gv$ob_session;
+----------------+
| TENANT         |
+----------------+
| SYS            |
| t_4siwu2x3q30g |
| t_4wbmohcdfwo0 |
| t_4sigx5cp8s00 |
| t_52pwx3frtups |
| t_4yr594ilcpc0 |
| t_4yl16tyf9hgg |
+----------------+
10012 rows in set (0.172 sec)

问题原因

虚拟表原有实现逻辑中，未考虑普通租户场景。暴露视图后，暴露出该问题。

问题的风险及影响

普通租户会查到其他租户的 session 信息。

影响租户

影响 OceanBase 数据库中的 Oracle 租户和 MySQL 租户，对于 SYS 租户无影响。

影响版本

OceanBase 数据库 V3.2.4 BP5（oceanbase-3.2.4.5-105000012023081513）及之后版本。

解决方法

升级到问题已修复版本。目前已修复的版本包含 OceanBase 数据库 V3.2.4 BP6 Hotfix1（oceanbase-3.2.4.6-106010012023110914）、V3.2.4 BP6 Hotfix2（oceanbase-3.2.4.6-106020012023121110）、V3.2.4 BP6 Hotfix3（oceanbase-3.2.4.6-106030022023122216）、V3.2.4 BP6 Hotfix4（oceanbase-3.2.4.6-106040022024012617）、V3.2.4 BP7（oceanbase-3.2.4.7-107000012023113010）。