【漏洞通告】Gentoo Soko SQL注入漏洞（CVE-2023-28424）

一、漏洞概述

CVE   ID	CVE-2023-28424	发现时间	2023-06-29
类    型	SQL注入	等    级	严重
攻击向量	网络	所需权限	无
攻击复杂度	低	用户交互	无
PoC/EXP		在野利用	未发现

Soko 是一个为packages.gentoo.org提供支持的Go软件模块，为用户提供了一种简单的方法来搜索可用于Gentoo Linux 发行版的不同Portage软件包。

6月29日，启明星辰VSRC监测到Soko中修复了多个SQL注入漏洞（统称为CVE-2023-28424），其CVSSv3评分为9.1，详情如下：

Gentoo Soko SQL注入漏洞

Soko版本1.0.2 之前，在pkg/app/handler/packages/search.go中实现的两个包搜索处理程序search和SearchFeed容易受到通过q参数执行的SQL注入攻击，可能导致未经身份验证的威胁者在https://packages.gentoo.org/上执行任意 SQL 查询，成功利用该漏洞可能导致敏感信息泄露或在PostgreSQL 容器的上下文中执行代码。

GraphiQL解析器 PackageSearch SQL 注入漏洞

Soko版本1.0.3之前,在pkg/api/graphql/resolvers/resolver.go中实现的GraphiQL解析器PackageSearch容易受到通过searchTerm参数执行的SQL注入攻击，可能导致未经身份验证的威胁者在https://packages.gentoo.org/上执行任意 SQL 查询，成功利用该漏洞可能导致敏感信息泄露或在PostgreSQL 容器的上下文中执行代码。

二、影响范围

Gentoo Soko版本：< 1.0.3

三、安全措施

3.1 升级版本

目前这些漏洞已经修复，受影响Soko用户可升级到Soko版本：>=1.0.3。

下载链接：

https://github.com/gentoo/soko/tags

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://github.com/gentoo/soko/security/advisories/GHSA-gc2x-86p3-mxg2

https://github.com/gentoo/soko/security/advisories/GHSA-45jr-w89p-c843

https://www.sonarsource.com/blog/why-orms-and-prepared-statements-cant-always-win/

原文始发于微信公众号（维他命安全）：【漏洞通告】Gentoo Soko SQL注入漏洞（CVE-2023-28424）