В PostgreSQL е отстранена уязвимост, използвана при атаката срещу BeyondTrust

Сформирани са коригиращи актуализации за всички поддържани клонове на PostgreSQL 17.3, 16.7, 15.11, 14.16 и 13.19, в които са поправени над 70 грешки и е отстранена уязвимост (CVE-2025-1094), използвана в края на декември при атака срещу компанията BeyondTrust и Министерството на финансите на САЩ. Проблемът в PostgreSQL е идентифициран при анализа на отдалечена уязвимост (CVE-2024-12356) в услугите на BeyondTrust PRA (Privileged Remote Access) и BeyondTrust RS (Remote Support), при експлоатирането на която допълнително е била активирана неизвестна (0-day) уязвимост в libpq.

В резултат на атаката, злонамерените лица успели да получат ключ за достъп до API, използван за отдалечено предоставяне на техническа поддръжка на клиенти на SaaS услуги на BeyondTrust. Този API е бил използван за нулиране на паролата и компрометиране на инфраструктурата на Министерството на финансите на САЩ, което ползва продуктите на BeyondTrust. По време на атаката, злонамерените лица успели да изтеглят конфиденциални документи и получиха достъп до работните станции на служителите на министерството.

Уязвимостта се проявява в библиотеката libpq, предоставяща API за взаимодействие с СУБД от програми на езика C (върху библиотеката също са реализирани библиотеките за C++, Perl, PHP и Python). Проблемът засяга приложения, които използват функции PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() или PQescapeStringConn() за ескейпиране на специални символи и неутрализиране на кавички.

Атакуващият може да постигне подмяна на своя SQL код, ако полученният извън текст преди използването му в SQL запитване се ескейпира с помощта на споменатите функции libpq. В приложенията на BeyondTrust ескейпърваните по този начин запитвания са преминавали през командния ред psql. Уязвимостта е предизвикана от липса на проверка на коректността на използваните в текста символи Unicode в функциите за ескейпиране, което позволява да се заобиколи нормализацията на кавичките чрез посочване на некоректни многобайтови последователности UTF-8.

За експлоатация на уязвимостта може да се използва некоректен UTF-8 символ, състоящ се от байтове 0xC0 и 0x27 («└'»). Байта 0x27 в ASCII кодировката отговаря на единична кавичка («‘»), която подлежи на ескейпиране. В кода за ескейпиране комбинацията от байтове 0xC0 и 0x27 се обработва като един Unicode символ. Съответно, байта 0x27 в такава последователност остава не ескейпирован, при което при обработката на SQL запитването в утилитата psql той се обработва като кавичка.

При изпълнение на SQL запитвания чрез утилитата psql за организиране на изпълнението на произволен код може да се използва подмяна в стринга на командата «\!», предназначена в psql за стартиране на произволни програми. Например, за стартиране на сървър инструментите «id» може да предаде стойността «hax\xC0′; \! id #». В примера по-долу за екраниране се извиква PHP скрипт dbquote, който използва PHP функцията pg_escape_string, работеща върху функцията PQescapeString от libpq: $ echo -e «hello \xC0’world'» | .\/dbquote ‘hello └’world»’ $ quoted=$(echo -e «hax\xC0′; \! id # » | .\/dbquote) $ echo «SELECT COUNT(1) FROM gw_sessions WHERE session_key = $quoted AND session_type = ‘sdcust’ AND (expiration IS NULL OR expiration>NOW())» | psql -e SELECT COUNT(1) FROM gw_sessions WHERE session_key = ‘hax└’; ERROR: невалидна байтова последователност за кодировка «UTF8»: 0xc0 0x27 uid=1000(myexamplecompany) gid=1000(myexamplecompany)

Източник: opennet.ru