去年12月中旬資安業者BeyondTrust發布資安公告，指出旗下的遠端支援（Remote Support，RS）系統、特權遠端存取（Privileged Remote Access，PRA）系統存在重大層級的命令注入漏洞CVE-2024-12356，且有人用於攻擊SaaS環境用戶，並傳出其中一個受害的單位是美國財政部，攻擊者的身分是中國政府資助的駭客，如今又有新的消息揭露。
資安業者Rapid7表示，他們針對CVE-2024-12356進行分析，結果成功重現了另一個漏洞CVE-2025-1094，並指出這項漏洞存在於關聯式資料庫PostgreSQL，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，遠端執行任意程式碼（RCE），CVSS風險評為8.1。根據相關調查結果，Rapid7認為，攻擊者在利用CVE-2024-12356的過程裡，觸發了CVE-2025-1094而能發動RCE攻擊。
針對新發現的CVE-2025-1094，1月底Rapid7向PostgreSQL開發團隊通報，2月13日開發團隊發布17.3、16.7、15.11、14.16、13.19版PostgreSQL修補。
對於漏洞形成的原因，Rapid7表示是PostgreSQL允許SQL指令的描述包含不可信任的輸入所致，使得PostgreSQL互動工具psql在讀取內容的過程裡，因為處理無效的UTF-8字元出現問題，從而產生SQL注入的現象。
研究人員進一步指出，他們確認這項漏洞無需搭配CVE-2024-12356，就能用來對BeyondTrust RS發動攻擊。他們也提及BeyondTrust的修補程式並未完全緩解CVE-2025-1094，但已經能成功防堵CVE-2024-12356及CVE-2025-1094帶來的資安風險。
熱門新聞
2025-02-08
2025-02-12
2025-02-11
2025-02-13
2025-02-10
2025-02-11
