Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] PostgreSQL opravuje vysoko závažnú zraniteľnosť

PostgreSQL vo verziách 17.4, 16.8, 15.12, 14.17 a 13.20 opravuje regresiu vysoko závažnej zraniteľnosti [1] pôvodne opravenej 13.2.2025 [2][3][4].

PostgreSQL - SQL injection (CVE-2025-1094)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybnému spracovaniu úvodzovkovej syntaxe niektorými funkciami knižnice libpq pomocou špeciálne vytvoreného vstupu umožnené vykonať SQL injection útok, ktorý vyžaduje použitie výstupu z dotknutých funkcií na konštrukciu vstupu do interaktívneho terminálu psql. Obdobná chyba v ďalších príkazových nástrojoch PostgreSQL umožňuje útok vykonať, ak je client_encoding nastavené na BIG5 a server_encoding na EUC_TW alebo MULE_INTERNAL [5]. Pôvodná oprava viedla k regresii, pri ktorej mohlo dochádzať k pádom aplikácie [1].

Zraniteľnosť sa nachádza v produkte:

  • *:PostgreSQL;>=13,<13.20;>=14,<14.17;>=15,<15.12;>=16,<16.8;>=17,<17.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 20. 2. 2025.

CESNET, z.s.p.o. Logo