Les acteurs de la menace qui étaient à l’origine de l’exploitation d’une vulnérabilité zéro-jour dans les produits d’accès à distance privilégié (PRA) et d’assistance à distance (RS) en décembre 2024 ont probablement exploité un défaut d’injection SQL auparavant inconnu dans Postgresql, selon les résultats de Rapid7.
La vulnérabilité, suivie comme CVE-2025-1094 (Score CVSS: 8.1), affecte l’outil interactif PostgreSQL PSQL.
“Un attaquant qui peut générer une injection SQL via le CVE-2025-1094 peut alors atteindre l’exécution de code arbitraire (ACE) en tirant parti de la capacité de l’outil interactif à exécuter des méta-commands”, a déclaré le chercheur en sécurité Stephen moins dit.
La société de cybersécurité a en outre noté qu’elle avait fait la découverte dans le cadre de son enquête sur CVE-2024-12356, un défaut de sécurité récemment corrigé dans le logiciel Beyondtrust qui permet l’exécution de code distant non authentifié.
Plus précisément, il a constaté que “un exploit réussi pour CVE-2024-12356 devait inclure l’exploitation du CVE-2025-1094 afin d’atteindre l’exécution du code distant”.
Dans une divulgation coordonnée, les responsables de PostgreSQL libéré une mise à jour pour résoudre le problème dans les versions suivantes –
- PostgreSQL 17 (fixé en 17.3)
- PostgreSQL 16 (fixé en 16.7)
- PostgreSQL 15 (fixé en 15.11)
- PostgreSQL 14 (fixé en 14.16)
- PostgreSQL 13 (fixé en 13.19)
La vulnérabilité découle de la façon dont PostgreSQL gère les caractères UTF-8 non valides, ouvrant ainsi la porte à un scénario où un attaquant pourrait exploiter une injection SQL en utilisant un Commande de raccourci “!”qui permet l’exécution de la commande shell.
“Un attaquant peut tirer parti du CVE-2025-1094 pour effectuer cette méta-command, contrôlant ainsi la commande Shell du système d’exploitation qui est exécutée”, a déclaré moins. “Alternativement, un attaquant qui peut générer une injection SQL via CVE-2025-1094 peut exécuter des instructions SQL contrôlées par un attaquant arbitraire.”
Le développement intervient alors que l’Agence américaine de sécurité de la cybersécurité et des infrastructures (CISA) ajouté Un défaut de sécurité ayant un impact sur le logiciel de support à distance SimpleHelp (CVE-2024-57727, score CVSS: 7,5) aux vulnérabilités exploitées connues (Kev) Catalogue, obligeant les agences fédérales à appliquer les correctifs d’ici le 6 mars 2025.