PostgreSQL quoting APIs miss neutralizing quoting syntax in text that fails encoding validation
100Vexday Risk Score
Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.
ssvc Actcvss 8.1epss 90%
de la publicación al arma125 días
Publicada en NVD13 feb
1ª PoC+125d
metasploit16 dic
VulnCheck13 feb
probabilidad de explotación
90%top 1% de las CVE
explotación observada
síVulnCheck
5 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Red Hatdocumento VEX ↗
Afectado
1 producto (11 componentes)
Red Hat Enterprise Linux 6
workaround: To mitigate, apply PostgreSQL patches once available. Until then: 1. Validate UTF-8 encoding: Reject inputs containing invalid UTF-8 sequences before passing to psql. 2…
Corregido
18 productos (3374 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream EUS (v.9.4) · Red Hat Enterprise Linux AppStream E4S (v.8.6) · y otros 13
No afectado
1 producto (19 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 10
Improper neutralization of quoting syntax in PostgreSQL libpq functions PQescapeLiteral(), PQescapeIdentifier(), PQescapeString(), and PQescapeStringConn() allows a database input provider to achieve SQL injection in certain usage patterns. Specifically, SQL injection requires the application to use the function result to construct input to psql, the PostgreSQL interactive terminal. Similarly, improper neutralization of quoting syntax in PostgreSQL command line utility programs allows a source of command line arguments to achieve SQL injection when client_encoding is BIG5 and server_encoding is one of EUC_TW or MULE_INTERNAL. Versions before PostgreSQL 17.3, 16.7, 15.11, 14.16, and 13.19 are affected.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · PostgreSQLPoCs públicas encontradas — 5
vulncheckvulncheck.com/xdb/9ecd668cb4ffno verificadovulncheckvulncheck.com/xdb/89210b1fa317no verificadovulncheckvulncheck.com/xdb/89f107f7accano verificadovulncheckvulncheck.com/xdb/2b2c44dd2231no verificadovulncheckvulncheck.com/xdb/d1d18f516b5ano verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
https://lists.debian.org/debian-lts-announce/2025/02/msg00015.htmlhttps://lists.debian.org/debian-lts-announce/2025/02/msg00024.htmlhttps://security.netapp.com/advisory/ntap-20250221-0010/https://www.postgresql.org/support/security/CVE-2025-1094/http://www.openwall.com/lists/oss-security/2025/02/16/3http://www.openwall.com/lists/oss-security/2025/02/20/1