CVE-2025-1094: Kritische SQL-Injection-Schwachstelle in PostgreSQL psql behoben

Rapid7 entdeckte eine SQL-Injection-Schwachstelle in dem PostgreSQL-Tool psql. Die Sicherheitslücke, CVE-2025-1094, macht es möglich, trotz Verwendung der integrierten String-Escaping-Routinen durch die Verarbeitung ungültiger UTF-8-Zeichen SQL-Injection-Angriffe durchzuführen. Angreifer können so über Meta-Commands im psql-Tool beliebige Betriebssystembefehle ausführen oder SQL-Anweisungen manipulieren, was letztlich zu einer Arbitrary Code Execution führen konnte.

Die Schwachstelle betrifft alle Versionen von PostgreSQL vor 17.3, 16.7, 15.11, 14.16 und 13.19 und trägt den CVSS 3.1 Basis-Score von 8.1 / 10 . Die Ausnutzung von CVE-2024-12356 (einer RCE-Schwachstelle in BeyondTrust) scheint dabei nur mit der gleichzeitigen Ausnutzung von CVE-2025-1094 möglich zu sein.

Tags :

Related Posts

Bitwarden macht zweiten Faktor zur Pflicht

Bitwarden hat angekündigt, die Zugangssicherheit seiner Nutzerkonten zu erhöhen, indem für Konten ohne aktivierte Zwei-Faktor-Authentifizierung (2FA) künftig beim Anmelden auf neuen Geräten ein Bestätigungscode per E-Mail abgefragt wird. Dieses Verfahren lässt sich als eine Art “2FA light” beschreiben und soll im Februar in Kraft treten. Passwort-Tresore (Vaults) gelten als attraktives Ziel für Angreifer, sodass Bitwarden auf die Bedeutung starker Passwörter und zusätzlicher Schutzmaßnahmen hinweist. Wer bereits eine 2FA-Lösung oder ein Single-Sign-On-Verfahren nutzt, muss keinen zusätzlichen E-Mail-Code eingeben. Bitwarden weist jedoch darauf hin, dass es unter Umständen problematisch werden kann, wenn man das Kennwort für sein E-Mail-Konto ausschließlich im Bitwarden-Tresor speichert und keine 2FA aktiviert hat – ohne Zugriff auf das Mail-Konto ließe sich dann auch der Passwort-Tresor nicht mehr freischalten. Am sichersten sei daher ein starkes Passwort in Verbindung mit einem zweistufigen Login mittels 2FA.

Read More

CVE-2025-25064: SQL Injection in Zimbra

Zimbra ist eine weit verbreitete Collaboration- und Groupware-Plattform, die Unternehmen und Organisationen vor allem für E-Mail, Kalender, Kontakte und Aufgaben-Management nutzen. Die Lösung umfasst einen Server mit umfangreichen Funktionen (z. B. Webmail, mobile Synchronisierung) und wird häufig als On-Premises- oder Cloud-Variante eingesetzt.

Read More

Cyberangriff auf Deutsche Bischofskonferenz – IT-Systeme lahmgelegt

Ein Hackerangriff am 10.02.2025 hat das Sekretariat der Deutschen Bischofskonferenz in Bonn schwer getroffen. Die katholische Bischofskonferenz ist derzeit nur eingeschränkt erreichbar, wie in einer Pressenachricht berichtet wird.

Read More