هشدار نسبت به آسیب پذیری PostgreSQL SQL injection

در تاریخ 13 فوریه ی 2025 آسیب پذیری جدیدی با نام CVE-2025-1094 برای پایگاه داده ی PostgreSQL اعلام شد؛ آسیب پذیری ای که می تواند به دسترسی مهاجمان به کل دیتابیس و داده های آن منجر شود.

- در تاریخ 13 فوریه ی 2025 آسیب پذیری جدیدی با نام CVE-2025-1094 برای پایگاه داده ی PostgreSQL اعلام شد؛ آسیب پذیری ای که می تواند به دسترسی مهاجمان به کل دیتابیس و داده های آن منجر شود.

به گزارش خبرگزاری مهر به نقل از آروان کلاد، این آسیب پذیری را در کوتاه ترین زمان شناسایی کرد و با بهره گیری از ویژگی Automatic Update/Upgrade، بدون ایجاد اختلال در سرویس کاربران دیتابیس ابری این آسیب پذیری رفع شد.

این آسیب پذیری بر مبنای این تصور اشتباه بود که هنگامی که با استفاده از توابع PostgreSQL String Escaping مانند PQescapeString ورودی های یک کاربر (یا مهاجم) امن سازی شد دیگر امکان وقوع حملات SQL-Injection از این طریق وجود ندارد .

اما در این آسیب پذیری مشخص شد در حالتی که ورودی مورد نظر با استفاده از ابزار PSQL روی سرور اجرا شود این حملات هم چنان امکان پذیر و داده ها در خطر است.

ریشه ی این مشکل نیز در نحوه ی برخورد توابع نام برده با کاراکترهای غیرمجاز UTF-8 و هم چنین نحوه ی پردازش رشته بایت های غیرمجاز داخل این کاراکترها توسط ابزار PSQL قرار دارد، که مهاجم با استفاده از این دو مشکل می تواند حمله ای از نوع SQL-Injection انجام دهد.