漏洞预警 | pgAdmin4反序列化漏洞

2024年3月20日01:35:16评论133 views字数 560阅读1分52秒阅读模式

0x00 漏洞编号

0x01 危险等级

0x02 漏洞概述

pgAdmin是PostgreSQL领先的开源图形化管理工具。pgAdmin4旨在满足新手和有经验的Postgres用户的需求，提供强大的图形界面，简化了数据库对象的创建、维护和使用。

漏洞预警 | pgAdmin4反序列化漏洞

0x03 漏洞详情

CVE-2024-2044

漏洞类型：反序列化

影响：任意代码执行

简述：pgAdmin4存在反序列化漏洞，当pgAdmin4运行在Window平台时攻击者可在无需登陆的情况下构造恶意请求造成远程代码执行。若pgAdmin4运行在Unix平台时，需要先经过身份认证才可触发反序列化造成代码执行。

0x04 影响版本

0x05 POC

https://www.shielder.com/advisories/pgadmin-path-traversal_leads_to_unsafe_deserialization_and_rce/

仅供安全研究与学习之用，若将工具做其他用途，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。

0x06 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://www.pgadmin.org/

原文始发于微信公众号（浅安安全）：漏洞预警 | pgAdmin4反序列化漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

CVE-2024-2044