Kritische Remote Code Execution Sicherheitslücke in pgAdmin

Am 31. März 2024 wurde die kritische Sicherheitslücke CVE-2024-3116 für Remote Code Execution (RCE) in pgAdmin bis Version 8.4 entdeckt. Diese Sicherheitslücke stellt eine erhebliche Bedrohung dar, insbesondere für Systeme, die unter Windows laufen, aufgrund der weniger strengen Ausführungsberechtigungen für Dateien.

pgAdmin ist ein weit verbreitetes Verwaltungstool für PostgreSQL-Datenbanken. Die darin gefundene Lücke CVE-2024-3116 beruht auf unzureichender Validierungen von Dateipfaden, die es Angreifern ermöglichten, unbefugten Code auszuführen. Diese Schwachstelle ist besonders auf Windows-Plattformen ausnutzbar, wo die Ausführung einer speziell erstellten bösartigen ausführbaren Datei ohne signifikante Hindernisse ausgelöst werden kann.

Um die Sicherheitslücke auszunutzen, kompilieren Angreifer bösartigen C-Code in eine Binärdatei, der einen ausgehenden HTTP-Request an eine kontrollierte URL initiieren kann. Diese Binärdatei kann über einen API-Endpunkt in pgAdmin hochgeladen werden, getarnt als legitimes PostgreSQL-Utility, was zu ihrer Ausführung führt. Um den Exploit zu demonstrieren, beschrieben die Forscher den Prozess von der Kompilierung der bösartigen Binärdatei bis zu ihrer Ausführung in einem Gitlab Gist, indem sie pgAdmin dazu brachten, einen manipulierten Utility-Pfad zu validieren.

Am 5.4.24 wurde ein Patch auf die Version 8.5 veröffentlicht, der die Sicherheitslücke schliesst.

Tags :

Related Posts

Sicherheitslücke in IBIS-Hotel Check-in-Terminals aufgedeckt

Die Schweizer Sicherheitsfirma Pentagrid hat eine Sicherheitslücke in einem Check-in-Terminal des IBIS-Budget-Hotels in Hamburg aufgedeckt, die es ermöglichte, Tastenschloss-Codes von Hotelzimmern zu erlangen. Diese Entdeckung erfolgte zufällig beim Besuch eines Hackerkongress in Hamburg Ende 2023.

Read More

Datenleck bei KidSecurity App: GPS Standort öffentlich einsehbar

4.4.2024: Bei KidSecurity, eine App zur elterlichen Kontrolle, kam es erneut zu einem Datenleck, diesmal einschließlich GPS-Standorte und private Nachrichten von Kindern. Ein Forschungsteam von Cybernews.com entdeckte am 7.2.24, dass die Entwickler die Authentifizierung für ihren Kafka Broker Cluster nicht konfiguriert hatten, wodurch Daten wie soziale Medien-Nachrichten, E-Mail-Adressen, Gerätestandorte und Audioaufnahmen über ein Jahr lang ungeschützt waren. Die App, die über 1 Millionen Downloads im Play Store verzeichnet und in Verbindung mit einer weiteren App namens ‘Tigrow!’ steht, hat damit zum zweiten Mal innerhalb eines Jahres die Sicherheit ihrer Nutzerdaten stark gefährdet. Die Entwickler Firma Kid Security LLP mit Firmensitz in Kasachstan äußerte sich bisher nicht zu den Vorfällen.

Read More

Schwachstellen in D-Link NAS: Befehlsinjektion und Hintergrundkonto

In mehreren Netzwerkspeichergeräten (NAS) von D-Link wurden hochkritische Sicherheitslücken entdeckt, die Modelle wie DNS-340L, DNS-320L, DNS-327L und DNS-325 betreffen. Die Schwachstelle CVE-2024-3272 (CVSS Score 9.8 / 10) befindet sich in der URI nas_sharing.cgi und resultiert aus zwei Hauptproblemen: einem Hintergrundkonto durch fest programmierte Anmeldeinformationen und einer Befehlsinjektionsanfälligkeit über den Systemparameter. Diese Sicherheitslücken ermöglichen die Ausführung beliebiger Befehle auf den betroffenen Geräten, was Angreifern den Zugang zu sensiblen Informationen, die Änderung der Systemkonfiguration oder die Verursachung von Dienstausfällen ermöglichen könnte. Es wird geschätzt, dass über 92.000 Geräte im Internet von dieser Problematik betroffen sind.

Read More