[TLP:CLEAR] PostgreSQL pgJDBC a EDB pgJDBC opravují kritickou zranitelnost

PostgreSQL JDBC driver - SQL injection (CVE-2024-1597)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno injektovat SQL kód při použití režimu PreferQueryMode=SIMPLE v pgjdbc, PostgreSQL JDBC ovladači. Útočník může využít specifické konstrukce payloadu k modifikaci dotazu, čímž dochází k obejití standardní ochrany proti útokům SQL Injection, kterou nabízejí parametrizované dotazy. Tato zranitelnost se nevyskytuje při používání výchozího nastavení [1] [2].

Zranitelnost se nachází v produktech:

  • pgJDBC; >=42.2.0, <42.2.28; >=42.3.0, <42.3.9; >=42.4.0, <42.4.4; >=42.5.0, <42.5.5; >=42.6.0, <42.6.1; >=42.7.0, <42.7.2
  • EnterpriseDB pgJDBC; >=42.5.4.0, <42.5.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 3. 4. 2024.

PostgreSQL pgJDBC verzemi 42.7.2, 42.6.1, 42.5.5, 42.4.4, 42.3.9, 42.2.28 a EDB pgJDBC verzí 42.5.4.2 opravují kritickou zranitelnost [3].

Za CESNET, z.s.p.o. Michaela Jarošová dne 4. 4. 2024.

CESNET, z.s.p.o. Logo