Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] PostgreSQL pgJDBC a EDB pgJDBC opravujú kritickú zraniteľnosť

PostgreSQL JDBC ovládač - SQL injection (CVE-2024-1597)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené injektovať SQL kód pri použití režimu PreferQueryMode=SIMPLE v pgjdbc, PostgreSQL JDBC ovládači. Útočník môže využiť špecifické konštrukcie payloadu na modifikáciu dotazu, čím dochádza k obchádzaniu štandardnej ochrany proti útokom SQL Injection, ktorú ponúkajú parametrizované dotazy. Táto zraniteľnosť sa nevyskytuje pri používaní predvoleného nastavenia [1] [2].

Zraniteľnosť sa nachádza v produktoch:

  • pgJDBC; >=42.2.0, <42.2.28; >=42.3.0, <42.3.9; >=42.4.0, <42.4.4; >=42.5.0, <42.5.5; >=42.6.0, <42.6.1; >=42.7.0, <42.7.2
  • EnterpriseDB pgJDBC; >=42.5.4.0, <42.5.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 3. 4. 2024.

PostgreSQL pgJDBC verziami 42.7.2, 42.6.1, 42.5.5, 42.4.4, 42.3.9, 42.2.28 a EDB pgJDBC verziou 42.5.4.2 opravujú kritickú zraniteľnosť [3].

Za CESNET, z.s.p.o. Michaela Jarošová dňa 4. 4. 2024.

CESNET, z.s.p.o. Logo