RHEL 9：postgresql-jdbc (RHSA-2023: 0318)

high Nessus 插件 ID 170407

语言：

简介

远程 Red Hat 主机缺少 postgresql-jdbc 的安全更新。

描述

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2023: 0318 公告中提及的漏洞的影响。

- PostgreSQL JDBC 驱动程序（简称 PgJDBC）允许 Java 程序使用独立于数据库的标准 Java 代码连接到 PostgreSQL 数据库。`java.sql.ResultRow.refreshRow()` 方法的 PGJDBC 实现未对列名称进行转义，因此包含语句终止符（例如 `;`）的恶意列名称可能导致 SQL 注入。这可能导致以应用程序的 JDBC 用户身份执行其他 SQL 命令。不调用 `ResultSet.refreshRow()` 方法的用户应用程序不受影响。如果调用该方法的用户应用程序通过其 JDBC 应用程序查询的底层数据库可能受攻击者控制，则该用户应用程序会受到影响。此攻击要求攻击者诱骗用户针对包含恶意 SQL 的列名称执行 SQL，然后在 ResultSet 上调用 `refreshRow()` 方法。请注意，应用程序的 JDBC 用户和方案所有者不必为同一人。以特权用户身份执行查询由潜在恶意的低特权用户拥有的数据库方案的 JDBC 应用程序将很容易受到攻击。在这种情况下，恶意用户可能会特制方案，导致应用程序以特权用户的身份执行命令。修补后的版本将作为“42.2.26”和 “42.4.1”发布。建议所有用户都进行升级。目前尚无针对此问题的解决方案。(CVE-2022-31197)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。