中危 PostgreSQL JDBC Driver 8.1 JDBC Statement SQL注入

CVE编号

CVE-2012-1618

利用情况

暂无

补丁情况

官方补丁

披露时间

2012-10-07

漏洞描述

PostgreSQL JDBC driver是一个数据库驱动程序。PostgreSQL存在一个缺陷允许攻击者进行SQL注入攻击，漏洞是由于JDBC驱动没有正确过滤JDBC语句参数传递的输入，允许攻击者向后端数据库注入或操作SQL查询，可获得敏感数据或控制应用系统。

解决建议

PostgreSQL JDBC driver 9.1及之后版本已经修复此漏洞，建议用户下载使用：http://jdbc.postgresql.org/

参考链接
http://archives.neohapsis.com/archives/bugtraq/2012-03/0126.html
http://lists.opensuse.org/opensuse-security/2012-03/msg00024.html
http://www.openwall.com/lists/oss-security/2012/03/30/8
http://www.openwall.com/lists/oss-security/2012/03/30/9
http://www.openwall.com/lists/oss-security/2012/03/31/1
http://www.openwall.com/lists/oss-security/2012/04/02/4
http://www.openwall.com/lists/oss-security/2012/04/04/11
http://www.openwall.com/lists/oss-security/2012/04/04/4
http://www.openwall.com/lists/oss-security/2012/04/04/5
http://www.openwall.com/lists/oss-security/2012/04/04/9
http://www.osvdb.org/80641
https://bugzilla.novell.com/show_bug.cgi?id=754273

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	postgresql	postgresql	9.1	-
	运行在以下环境
	应用	postgresql	postgresql_jdbc_driver	8.1	-
	运行在以下环境
	系统	debian_10	libpgjava	*		Up to (excluding) 42.2.5-2+deb10u1
	运行在以下环境
	系统	debian_11	libpgjava	*		Up to (excluding) 42.2.15-1+deb11u1
	运行在以下环境
	系统	debian_12	libpgjava	*		Up to (excluding) 42.5.4-1
	运行在以下环境
	系统	debian_sid	libpgjava	*		Up to (excluding) 42.6.0-2

阿里云评分 6.2

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 普通权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
NVD-CWE-Other

Exp相关链接

- avd.aliyun.com