CVE-2021-47748

Atakujący wysyła spreparowane zapytanie GraphQL do endpointu run_sql, wstrzykując złośliwe polecenia systemowe (command injection). Mechanizm ataku wykorzystuje funkcjonalność PostgreSQL o nazwie COPY FROM PROGRAM, która pozwala na wykonywanie poleceń powłoki systemowej bezpośrednio z poziomu zapytania SQL. Poprzez odpowiednią manipulację zapytaniem SQL przekazywanym do tego endpointu, atakujący może osiągnąć pełne wykonanie kodu na serwerze docelowym.

Atakujący może wykonać dowolne polecenia systemowe na serwerze hostującym Hasura GraphQL Engine, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz potencjalnego lateral movement w sieci wewnętrznej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do endpointu run_sql wyłącznie do zaufanych, uwierzytelnionych użytkowników oraz zastosowanie odpowiednich reguł firewall blokujących nieautoryzowany dostęp do interfejsu GraphQL.

Hasura GraphQL Engine w wersji 1.3.3

Dla tej podatności dostępny jest publiczny exploit opublikowany w bazie Exploit-DB (exploit nr 49802), co istotnie obniża próg wejścia dla potencjalnych atakujących. Mimo braku wpisu w CISA KEV, obecność publicznego exploit code wymaga pilnej reakcji.