CVE-2024-1597

Podatność występuje wyłącznie gdy aplikacja skonfigurowana jest z opcją PreferQueryMode=SIMPLE (nie jest to tryb domyślny). W tym trybie pgjdbc nie korzysta z mechanizmu zapytań parametryzowanych po stronie serwera, lecz dokonuje podstawiania wartości po stronie klienta. Atakujący może skonstruować specjalnie spreparowany payload dla wartości tekstowej, jeśli bezpośrednio przed jej placeholderem znajduje się placeholder wartości numerycznej poprzedzony znakiem minus, a oba placeholdery są w tej samej linii. Taka konstrukcja pozwala na wstrzyknięcie dowolnego kodu SQL, omijając ochronę zapewnianą standardowo przez zapytania parametryzowane.

Atakujący może dowolnie modyfikować wykonywane zapytania SQL, co może prowadzić do nieautoryzowanego odczytu, modyfikacji lub usunięcia danych w bazie, a w zależności od uprawnień konta bazodanowego — nawet do przejęcia kontroli nad systemem bazodanowym.

Należy zaktualizować pgjdbc do wersji 42.7.2, 42.6.1, 42.5.5, 42.4.4, 42.3.9 lub 42.2.28 (odpowiednio dla używanej gałęzi). Jeśli aktualizacja nie jest natychmiast możliwa, należy upewnić się, że aplikacja nie używa trybu PreferQueryMode=SIMPLE — tryb domyślny nie jest podatny na tę lukę.

PostgreSQL JDBC Driver (pgjdbc) w wersjach wcześniejszych niż 42.7.2, 42.6.1, 42.5.5, 42.4.4, 42.3.9 oraz 42.2.28, skonfigurowanych z opcją PreferQueryMode=SIMPLE.

Podatność dotyczy wyłącznie niestandardowej konfiguracji PreferQueryMode=SIMPLE. Domyślna konfiguracja sterownika pgjdbc nie jest zagrożona. Administratorzy powinni zweryfikować konfigurację swoich aplikacji przed podjęciem działań naprawczych.