【漏洞通告】PostgreSQL SQL注入漏洞(CVE-2025-1094)

启明星辰安全简讯 2025-02-21 06:48

一、漏洞概述

漏洞名称	PostgreSQL SQL注入漏洞
CVE   ID	CVE-2025-1094
漏洞类型	SQL注入	发现时间	2025-02-21
漏洞评分	8.1	漏洞等级	高危
攻击向量	网络	所需权限	无
利用难度	高	用户交互	无
PoC/EXP	已公开	在野利用	未发现

PostgreSQL是一个开源、强大的关系型数据库管理系统，支持SQL标准及扩展，广泛应用于企业级应用。它具备高可靠性、可扩展性、数据完整性和并发控制功能，支持多种编程语言和扩展机制。PostgreSQL的特点包括ACID事务支持、复杂查询优化、JSON数据类型处理、全文搜索等。它适用于从小型应用到大型数据仓库的各种场景。

2025年2月21日，启明星辰集团VSRC监测到PostgreSQL发布了关于CVE-2025-1094漏洞的安全公告。公告指出，PostgreSQL的libpq函数（如PQescapeLiteral()、PQescapeIdentifier()、PQescapeString()和PQescapeStringConn()）在某些使用模式下未能正确处理引号语法，可能导致SQL注入漏洞。攻击者可以通过构造恶意输入，利用这些函数的返回结果在PostgreSQL交互终端psql中执行恶意SQL语句。此外，PostgreSQL命令行工具在特定字符编码环境下（如client_encoding为BIG5、server_encoding为EUC_TW或MULE_INTERNAL时）也可能受到类似SQL注入攻击的威胁。该漏洞的CVSS评分为8.1分，漏洞等级为高危。

二、影响范围

17 <= PostgreSQL < 17.3

16 <= PostgreSQL < 16.7

15 <= PostgreSQL < 15.11

14 <= PostgreSQL < 14.16

13 <= PostgreSQL < 13.19

三、安全措施

3.1 升级版本

官方已于2025年2月13日发布了修复补丁，建议受影响版本的用户尽快进行升级。具体修复版本如下：

PostgreSQL 17已在17.3版本中修复该漏洞

PostgreSQL 16已在16.7版本中修复该漏洞

PostgreSQL 15已在15.11版本中修复该漏洞

PostgreSQL 14已在14.16版本中修复该漏洞

PostgreSQL 13已在13.19版本中修复该漏洞

下载链接：

https://github.com/postgres/postgres/tags/

3.2 临时措施

使用参数化查询或预编译语句，避免直接拼接用户输入。

严格验证并过滤用户输入，避免恶意字符。

限制数据库用户权限，确保最低必要权限。

3.4 参考链接

https://www.postgresql.org/support/security/CVE-2025-1094/

https://www.postgresql.org/support/security/CVE-2025-1094

https://nvd.nist.gov/vuln/detail/CVE-2025-1094