Уязвимост в PostgreSQL е отстранена, използвана при атаката срещу BeyondTrust

Създадени са коригиращи актуализации за всички поддържани версии на PostgreSQL 17.3, 16.7, 15.11, 14.16 и 13.19, в които са отстранени над 70 грешки и е решена уязвимост (CVE-2025-1094), използвана в края на декември в атака срещу компанията BeyondTrust и Министерството на финансите на САЩ. Проблемът в PostgreSQL е открит при анализа на дистанционната уязвимост (CVE-2024-12356) в услугите на BeyondTrust PRA (Privileged Remote Access) и BeyondTrust RS (Remote Support), при експлоатацията на която е използвана и неизвестна преди това (0-day) уязвимост в libpq.

В резултат на атаката, злонамерените лица успели да получат ключ за достъп до API, използван за дистанционно предоставяне на техническа поддръжка на клиенти на SaaS услуги на BeyondTrust. Този API е бил използван за нулиране на паролата и компрометиране на инфраструктурата на Министерството на финансите на САЩ, което ползва продуктите на BeyondTrust. При атаката злонамерените лица успели да изтеглят конфиденциални документи и получиха достъп до работните станции на служителите на министерството.

Уязвимостта се проявява в библиотеката libpq, която предоставя API за взаимодействие с бази данни от програми на езика C (върху библиотеката са реализирани и обвиващи библиотеки за C++, Perl, PHP и Python). Проблемът засяга приложения, които използват функциите PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() или PQescapeStringConn() за екраниране на специални символи и неутрализиране на кавичките.

Атакуващият може да постигне заместването на своя SQL код, ако текстът, извлечен отвън, се екранира с помощта на посочените по-горе функции на libpq, преди да се използва в SQL заявка. В приложенията на BeyondTrust, екранираните по такъв начин заявки са били предавани чрез командната линия psql. Уязвимостта е причинена от липсата на проверка на коректността на използваните Unicode символи в текста в съществуващите функции за екраниране, което позволява заобикаляне на нормализацията на кавичките чрез указване на некоректни многобайтови последователности UTF-8.

За експлоатация на уязвимостта може да се използва некоректен UTF-8 символ, състоящ се от байтовете 0xC0 и 0x27 («└'»). Байта 0x27 в ASCII-кодировката отговаря на единична кавичка («‘»), която подлежи на екраниране. В кода за екраниране, комбинацията от байтовете 0xC0 и 0x27 се обработва като един Unicode символ. Съответно, байта 0x27 в тази последователност остава неекраниран, като при обработка на SQL запитване в утилитата psql се обработва като кавичка.

При стартиране на SQL запитвания чрез утилитата psql за организиране на изпълнението на произволен код, може да се използва подмяна в командния ред «\!», предназначена в psql за стартиране на произволни програми. Например, за стартиране на сървър утилитата «id» може да се предаде стойността «hax\xC0′; \! id #». В примера по-долу за екраниране се извиква PHP скрипт dbquote, използващ PHP функцията pg_escape_string, работеща върху функцията PQescapeString от libpq: $ echo -e «hello \xC0’world'» | ./dbquote ‘hello └’world»’ $ quoted=$(echo -e «hax\xC0′; \! id # » | ./dbquote) $ echo «SELECT COUNT(1) FROM gw_sessions WHERE session_key = $quoted AND session_type = ‘sdcust’ AND (expiration IS NULL OR expiration>NOW())» | psql -e SELECT COUNT(1) FROM gw_sessions WHERE session_key = ‘hax└’; ERROR: invalid byte sequence for encoding «UTF8»: 0xc0 0x27 uid=1000(myexamplecompany) gid=1000(myexamplecompany)

Източник: opennet.ru