PT-2024-1805 · Postgresql+9 · Pgjdbc+11

Paul-Gerste-Sonarsource

·

Publicado

2024-02-19

·

Atualizado

2026-05-26

·

CVE-2024-1597

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do pgjdbc anteriores à 42.7.2
Versões do pgjdbc anteriores à 42.6.1
Versões do pgjdbc anteriores à 42.5.5
Versões do pgjdbc anteriores à 42.4.4
Versões do pgjdbc anteriores à 42.3.9
Versões do pgjdbc anteriores à 42.2.28
Descrição
O driver JDBC do PostgreSQL apresenta uma vulnerabilidade de injeção de SQL ao usar a propriedade de conexão PreferQueryMode=SIMPLE. Isso permite que um invasor injete SQL e altere consultas, contornando as proteções contra ataques de injeção de SQL. A vulnerabilidade requer que condições específicas sejam atendidas, incluindo um placeholder para um valor numérico imediatamente precedido por um sinal de menos e um segundo placeholder para um valor de string na mesma linha. Ambos os parâmetros devem ser controlados pelo usuário. A vulnerabilidade pode ser explorada para expor ativos e tem alto impacto na confidencialidade, integridade e disponibilidade.
Recomendações
Para resolver o problema, atualize o pgjdbc para a versão 42.7.2 ou posterior.
Para versões anteriores à 42.7.2, atualize para a versão 42.6.1 ou posterior.
Para versões anteriores à 42.6.1, atualize para a versão 42.5.5 ou posterior.
Para versões anteriores à 42.5.5, atualize para a versão 42.4.4 ou posterior.
Para versões anteriores à 42.4.4, atualize para a versão 42.3.9 ou posterior.
Para versões anteriores à 42.3.9, atualize para a versão 42.2.28 ou posterior.
Como solução temporária, considere desativar a propriedade de conexão PreferQueryMode=SIMPLE até que um patch esteja disponível.

Correção

SQL injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALSA-2024:1435
ALSA-2024:1436
ALT-PU-2024-16562
ALT-PU-2024-16782
ALT-PU-2024-17651
BDU:2024-01541
BIT-POSTGRESQL-JDBC-DRIVER-2024-1597
CESA-2024_1435
CVE-2024-1597
DLA-3812-1
DLA-3995-1
GHSA-24RP-Q3W6-VC56
GHSA-XFG6-62PX-CXC2
INFSA-2024_1435
INFSA-2024_1436
MGASA-2024-0120
OESA-2024-1237
OPENSUSE-SU-2024:13734-1
OPENSUSE-SU-2024_0769-1
RHSA-2024:1435
RHSA-2024:1436
RHSA-2024:1649
RHSA-2024:1999
RHSA-2024:2624
RHSA-2024:3313
RHSA-2024:4375
RHSA-2024:4402
RHSA-2024_1435
RHSA-2024_1436
RLSA-2024:1435
RLSA-2024:1436
SUSE-SU-2024:0769-1
SUSE-SU-2024:0771-1
SUSE-SU-2024:0773-1
SUSE-SU-2024_0769-1
SUSE-SU-2024_0771-1
SUSE-SU-2024_0773-1

Produtos afetados

Alt Linux
Almalinux
Astra Linux
Bamboo
Centos
Confluence
Jira
Red Hat
Red Os
Rocky Linux
Suse
Pgjdbc