Aralık 2024’teki BeyondTrust ayrıcalıklı uzaktan erişimde (PRA) ve uzaktan destek (RS) ürünlerinde sıfır gün güvenlik açığının sömürülmesinin arkasında olan tehdit aktörleri, Rapid7’nin bulgularına göre PostgRESQL’de daha önce bilinmeyen bir SQL enjeksiyon kusurunu da kullandı.
Güvenlik açığı, CVE-2025-1094 (CVSS puanı: 8.1), PostgreSQL etkileşimli aracı PSQL’yi etkiler.
Güvenlik araştırmacısı Stephen Lither, “CVE-2025-1094 aracılığıyla SQL enjeksiyonu oluşturabilen bir saldırgan daha sonra etkileşimli aracın meta komutları çalıştırma yeteneğinden yararlanarak keyfi kod yürütme (ACE) elde edebilir.” Dedi.
Siber güvenlik şirketi ayrıca, BeyondTrust yazılımında, kimliği doğrulanmamış uzaktan kod yürütmesine izin veren yakın zamanda yamalı bir güvenlik kusuru olan CVE-2024-12356 ile ilgili soruşturmasının bir parçası olarak keşfi yaptığını belirtti.
Özellikle, “CVE-2024-12356 için başarılı bir istismarın, uzaktan kod yürütülmesini sağlamak için CVE-2025-1094’ün sömürülmesini içermesi gerektiğini” buldu.
Koordineli bir açıklamada, PostgreSQL’in bakıcıları, aşağıdaki sürümlerde sorunu ele almak için bir güncelleme yayınladı –
- Postgresql 17 (17.3’te sabitlenmiş)
- Postgresql 16 (16.7’de sabit)
- Postgresql 15 (15.11’de sabit)
- Postgresql 14 (14.16’da sabit)
- PostgreSQL 13 (13.19’da sabit)
Güvenlik açığı, PostgreSQL’in geçersiz UTF-8 karakterlerini nasıl işlediğinden kaynaklanır, böylece bir saldırganın, kabuk komutu yürütmesini sağlayan bir kısayol komutu “\!”
“Bir saldırgan, bu meta komutu gerçekleştirmek için CVE-2025-1094’ten yararlanabilir, böylece yürütülen işletim sistemi kabuğu komutunu kontrol edebilir.” Dedi. “Alternatif olarak, CVE-2025-1094 aracılığıyla SQL enjeksiyonu oluşturabilen bir saldırgan, keyfi saldırgan kontrollü SQL ifadeleri yürütebilir.”
Geliştirme, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Federal Ajanslara Uygulamak için Bilinen Sömürülen Güvenlik Açıkları (KEV) Kataloğuna SimpleHelp Uzaktan Destek Yazılımını (CVE-2024-57727, CVSS Puanı: 7.5) etkileyen bir güvenlik kusuru ekledi. 6 Mart 2025’e kadar düzeltmeler.