pgjdbc 存在SQL注入漏洞 (CVE-2024-1597)

漏洞类型 SQL注入 发现时间 2024-02-19 漏洞等级 严重
MPS编号 MPS-1wko-hvgp CVE编号 CVE-2024-1597 漏洞影响广度

漏洞危害

OSCS 描述
pgjdbc 是PostgreSQL的JDBC驱动程序。
pgjdbc 受影响版本中配置为使用简单查询模式(preferQueryMode=SIMPLE,非默认情况)时存在SQL注入。
当SQL占位符前存在负号(-)时,用户传入的参数值中负号会被错误解释为行注释,攻击者可利用该特征造成SQL注入,破坏原有语句结构。
参考链接:https://www.oscs1024.com/hd/MPS-1wko-hvgp

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.postgresql:postgresql [9.3-1103-jdbc41, 42.7.1] 补丁 官方已发布补丁:https://github.com/pgjdbc/pgjdbc/commit/93b0fcb2711d9c1e3a2a03134369738a02a58b40
参考链接:https://www.oscs1024.com/hd/MPS-1wko-hvgp

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-1wko-hvgp

https://github.com/pgjdbc/pgjdbc/commit/93b0fcb2711d9c1e3a2a03134369738a02a58b40

https://github.com/pgjdbc/pgjdbc/security/advisories/GHSA-24rp-q3w6-vc56

(0)
上一篇 2024年2月20日 下午8:00
下一篇 2024年2月20日 下午8:00

相关推荐

  • Google Chrome<121.0.6167.85 Web Audio 释放后使用漏洞 (CVE-2024-0807)

    漏洞类型 UAF 发现时间 2024-01-24 漏洞等级 高危 MPS编号 MPS-dgzo-536e CVE编号 CVE-2024-0807 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。Web Audio 是用于在浏览器中进行音频处理和合成的 API。 Google Chrome 121…

    2024年1月25日
    0
  • Elasticsearch simulate pipeline API 存在拒绝服务风险 (CVE-2023-46673)

    漏洞类型 对异常条件的处理不恰当 发现时间 2023-11-22 漏洞等级 中危 MPS编号 MPS-gtbf-0qxw CVE编号 CVE-2023-46673 漏洞影响广度 广 漏洞危害 OSCS 描述 Elasticsearch 是开源的搜索引擎,simulate pipeline API 用于模拟指定的管道(pipeline)对提供的文档进行处理。在…

    2023年11月23日
    0
  • Node.js setuid 权限管理不当漏洞 (CVE-2024-22017)

    漏洞类型 权限管理不当 发现时间 2024-03-19 漏洞等级 高危 MPS编号 MPS-53sx-8oyz CVE编号 CVE-2024-22017 漏洞影响广度 广 漏洞危害 OSCS 描述 Node.js 是开源、跨平台的 JavaScript 运行时环境。io_uring是Linux内核提供的一种高性能异步I/O机制。 在受影响的版本中,由于lib…

    2024年3月25日
    0
  • JeecgBoot <=3.5.1 存在sql注入漏洞 ( CVE-2023-34602)

    漏洞类型 SQL注入 发现时间 2023/6/19 漏洞等级 中危 MPS编号 MPS-okys-m9ai CVE编号 CVE-2023-34602 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的基于代码生成的快速开发平台。受影响版本中,由于 SystemApiController#queryTableDictItemsByCo…

    2023年8月31日
    0
  • Apache NiFi H2驱动存在代码注入漏洞 (CVE-2023-34468)

    漏洞类型 代码注入 发现时间 2023/6/13 漏洞等级 高危 MPS编号 MPS-v4am-pz0t CVE编号 CVE-2023-34468 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache NiFi 是一个开源的数据流处理和自动化工具,DBCPConnectionPool 和 HikariCPConnectionPool 是两个控制器服务,…

    2023年8月30日
    0