CVE-2022-21724
Açıklama
pgjdbc, resmi PostgreSQL JDBC Sürücüsüdür. Güvenlik araştırmaları sırasında PostgreSQL veritabanı için kullanılan JDBC sürücüsünde bir güvenlik açığı tespit edilmiştir. Saldırganın JDBC URL'sini veya özelliklerini kontrol edebildiği durumlarda, PostgreSQL kütüphanesini kullanan sistemler saldırıya açık hale gelir. pgjdbc; `authenticationPluginClassName`, `sslhostnameverifier`, `socketFactory`, `sslfactory`, `sslpasswordcallback` bağlantı özellikleri aracılığıyla sağlanan sınıf isimlerine dayanarak eklenti örnekleri oluşturur. Ancak sürücü, sınıfı örneklendirmeden önce ilgili sınıfın beklenen arayüzü uygulayıp uygulamadığını doğrulamamaktadır. Bu durum, rastgele sınıflar üzerinden yüklenen kodların çalıştırılmasına yol açabilir. Eklentileri kullanan kullanıcıların güncel sürüme yükseltmeleri önerilir. Bu sorun için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- postgresql postgresql_jdbc_driver42.2.25, 42.3.2 ya da sonraki bir sürüm
- quarkus quarkus2.7.2 ya da sonraki bir sürüm
- org.postgresql:postgresql42.2.25, 42.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| postgresql postgresql_jdbc_driver | v < 42.2.25, 42.3.0 ≤ v < 42.3.2, 42.3.2 | 42.2.25, 42.3.2 |
| fedoraproject fedora | 35 | — |
| quarkus quarkus | v < 2.7.2 | 2.7.2 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| org.postgresql:postgresqlMaven | 9.4.1208 ≤ v < 42.2.25, 42.3.0 ≤ v < 42.3.2 | 42.2.25, 42.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.