Rapid7 entdeckte eine SQL-Injection-Schwachstelle in dem PostgreSQL-Tool psql. Die Sicherheitslücke, CVE-2025-1094, macht es möglich, trotz Verwendung der integrierten String-Escaping-Routinen durch die Verarbeitung ungültiger UTF-8-Zeichen SQL-Injection-Angriffe durchzuführen. Angreifer können so über Meta-Commands im psql-Tool beliebige Betriebssystembefehle ausführen oder SQL-Anweisungen manipulieren, was letztlich zu einer Arbitrary Code Execution führen konnte.
Die Schwachstelle betrifft alle Versionen von PostgreSQL vor 17.3, 16.7, 15.11, 14.16 und 13.19 und trägt den CVSS 3.1 Basis-Score von 8.1 / 10 . Die Ausnutzung von CVE-2024-12356 (einer RCE-Schwachstelle in BeyondTrust) scheint dabei nur mit der gleichzeitigen Ausnutzung von CVE-2025-1094 möglich zu sein.
Ähnliche Beiträge:
Professionelle Hilfe erwünscht?
Sentiguard ist spezialisiert auf Notfallhilfe nach Cyberattacken, IT Sicherheitsbeauftragte und IT Sicherheitskonzepte nach BSI Standard. Haben Sie Fragen und wünschen Sie unverbindliche Beratung, dann melden Sie sich gerne bei uns: