Sommario
Una grave vulnerabilità SQL injection, identificata come CVE-2025-1094, è stata scoperta nel tool interattivo psql di PostgreSQL, mettendo a rischio l’integrità dei sistemi che lo utilizzano. La falla, con un punteggio CVSS di 8.1, è stata individuata da Rapid7 nel corso di un’analisi su un’altra vulnerabilità critica, CVE-2024-12356, che ha colpito BeyondTrust Privileged Remote Access e BeyondTrust Remote Support.
L’exploit di CVE-2025-1094 consente a un attaccante di eseguire comandi arbitrari attraverso un’iniezione SQL sfruttando un’errata gestione dei caratteri UTF-8 non validi nei sistemi PostgreSQL. Se combinato con il meta-comando di psql, l’attacco può portare all’esecuzione di comandi di sistema, aprendo la strada a una compromissione completa del server.
Dettagli tecnici della vulnerabilità
La vulnerabilità è presente in tutte le versioni di PostgreSQL precedenti a 17.3, 16.7, 15.11, 14.16 e 13.19 e si verifica a causa di un’errata assunzione da parte del sistema di escaping di PostgreSQL, che non protegge adeguatamente le stringhe di input non affidabili.
L’attaccante può sfruttare questa falla manipolando il tool psql in modo da iniettare codice SQL malevolo, ottenendo così il controllo sulle operazioni di sistema e permettendo l’esecuzione di codice arbitrario. Questo può essere realizzato sfruttando il meta-comando “!” di psql, che consente l’esecuzione di comandi shell direttamente dal terminale PostgreSQL.
Impatto e rischi della vulnerabilità
Se un utente con privilegi sufficienti esegue un’operazione SQL con input non adeguatamente sanificato, un attaccante può:
- Eseguire codice arbitrario sul sistema operativo attraverso il comando “!” di psql.
- Compromettere il database PostgreSQL, con accesso non autorizzato ai dati.
- Sfruttare la vulnerabilità per attacchi più ampi, combinandola con altre falle come CVE-2024-12356 per ottenere persistenza nel sistema compromesso.
Secondo gli analisti, la gravità dell’attacco aumenta se il tool psql viene eseguito con privilegi elevati, poiché potrebbe consentire l’accesso completo all’infrastruttura del database.
Patch e mitigazione
PostgreSQL ha rilasciato patch per le versioni aggiornate del database, e gli utenti sono invitati ad aggiornare immediatamente alla versione più recente disponibile:
- PostgreSQL 17.3
- PostgreSQL 16.7
- PostgreSQL 15.11
- PostgreSQL 14.16
- PostgreSQL 13.19
L’aggiornamento è l’unico metodo sicuro per mitigare il rischio, poiché la vulnerabilità è legata al modo in cui il tool psql gestisce i dati di input e non può essere risolta solo con configurazioni di sicurezza aggiuntive.
Inoltre, per limitare eventuali rischi residui, si consiglia di:
- Limitare l’uso di psql solo a utenti autorizzati.
- Disabilitare il meta-comando “!” nel caso in cui non sia strettamente necessario.
- Monitorare gli accessi e i log per individuare tentativi di exploit.
Aggiornamento essenziale per la sicurezza dei database PostgreSQL
La scoperta della vulnerabilità CVE-2025-1094 evidenzia l’importanza di aggiornare tempestivamente PostgreSQL per proteggere i database da possibili attacchi. Sebbene l’exploit richieda determinate condizioni per essere eseguito con successo, il suo impatto potenziale è altamente critico per qualsiasi infrastruttura basata su PostgreSQL.
Gli amministratori di sistema devono applicare immediatamente le patch rilasciate per evitare possibili compromissioni e garantire la sicurezza delle operazioni sui database aziendali.
