Gentoo Soko 中存在多个严重的SQL注入漏洞，可导致RCE

Gentoo Soko 中存在多个SQL注入漏洞，可导致攻击者在易受攻击系统上远程执行代码。

SonarSource 公司的安全研究员 Thomas Chauchefoin 表示，“尽管使用了对象关系映射 (ORM) 库和预编译语句，还是发生了这些 SQL 注入漏洞。”由于“数据库配置不当问题”，还可在 Soko 上导致 RCE。

这两个漏洞位于 Soko 的搜索特性中，编号统一分配为 CVE-2023-28424（CVSS评分9.1），已在负责任披露的24小时内，于2023年3月17日修复。

Soko 是一个 Go 软件模块，支持 packages.gentoo.org，使用户能够轻松地搜索可用于 Gentoo Linux 发行版本的 Portage 程序包。但该服务中出现缺陷意味着恶意人员可注入特殊构造的代码，暴露敏感信息。

SonarSource 提到，“这些SQL注入漏洞是可利用的且能够披露 PostgreSQL 服务器的版本并在系统上执行任意命令。”

数月前，SonarSource 在一个开源的商业套件 Odoo 中发现了一个跨站脚本漏洞，可被用于模拟易受攻击 Odoo 示例中的任何受害者并提取有价值的数据。

今年早些时候，开源软件如 Pretalx 和 OpenEMR 中还出现多个安全弱点，可被远程攻击者用于执行任意代码。