【漏洞通告】PostgreSQL JDBC SQL注入漏洞

01 漏洞概况

PostgreSQL JDBC Driver（简称PgJDBC）允许Java程序使用标准的、独立于数据库的Java代码连接到PostgreSQL数据库。

     PgJDBC受影响版本中，当使用简单查询模式（PreferQueryMode=SIMPLE，非默认模式）时存在SQL注入漏洞，当SQL绑定占位符带有（-）前缀时，负值的直接替换可能导致生成的标记被视为行注释（如：SELECT -?, ?），如果第一个数值占位符的参数值为负值（如-1，-123等）且第二个字符串值占位符的参数中带有换行符的恶意文本可能导致命令执行。威胁者可利用该漏洞执行SQL注入攻击，成功利用该漏洞可能导致获取敏感信息或执行未授权操作等。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	PostgreSQL JDBC SQL注入漏洞
漏洞编号	CVE编号	CVE-2024-1597
漏洞评估	披露时间	2024-02-20
	漏洞类型	注入‍‍‍‍‍
	危害评级	高危
	公开程度	PoC未公开
	威胁类型	远程
利用情报	在野利用	未知‍
影响产品	产品名称	PostgreSQL JDBC
	受影响版本	42.7.0<=PgJDBC<42.7.2、42.6.0<=PgJDBC< 42.6.1、42.5.0<=PgJDBC<42.5.5、42.4.0<=PgJDBC< 42.4.4、42.3.0<=PgJDBC< 42.3.9、PgJDBC< 42.2.8
	影响范围	广
	有无修复补丁	有

03 漏洞排查

用户尽快排查应用PostgreSQL JDBC版本是否在42.7.0<=PgJDBC<42.7.2、42.6.0<=PgJDBC< 42.6.1、42.5.0<=PgJDBC<42.5.5、42.4.0<=PgJDBC< 42.4.4、42.3.0<=PgJDBC< 42.3.9、PgJDBC< 42.2.8。若存在应用使用，极大可能会受到影响。

04 修复方案

目前官方已经发布了该漏洞的补丁，受影响用户可应用补丁或待修复版本发布时升级到PgJDBC版本42.7.2、42.6.1、42.5.5、42.4.4、42.3.9和42.2.8。

05 时间线

      2024.02.20 厂商发布安全补丁

      2024.02.27安迈信科安全运营团队发布通告

   

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】PostgreSQL JDBC SQL注入漏洞