Описание
Уязвимость функций PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() и PQescapeStringConn() библиотеки libpq системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Вендор
ООО «Ред Софт»
ООО «РусБИТех-Астра»
Postgres Professional
PostgreSQL Global Development Group
Сообщество свободного программного обеспечения
ООО "Тантор Лабс"
АО «СберТех»
Наименование ПО
РЕД ОС
Astra Linux Special Edition
Postgres Pro Certified
PostgreSQL
libpq
СУБД «Tantor»
Platform V Pangolin SE
Версия ПО
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
1.8 (Astra Linux Special Edition)
до 17.3 (Postgres Pro Certified)
до 16.7 (Postgres Pro Certified)
до 15.11 (Postgres Pro Certified)
до 14.16 (Postgres Pro Certified)
до 13.19 (Postgres Pro Certified)
до 17.3 (PostgreSQL)
до 16.7 (PostgreSQL)
до 15.11 (PostgreSQL)
до 14.16 (PostgreSQL)
до 13.19 (PostgreSQL)
- (libpq)
до 15.10.3 (СУБД «Tantor»)
до 6.4.2 включительно (Platform V Pangolin SE)
Тип ПО
Операционная система
СУБД
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «СберТех» Platform V SberLinux OS Server -
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удаленного доступа к уязвимому программному средству;
- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному средству;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания попыток эксплуатации уязвимости.
Использование рекомендаций производителя:
https://www.postgresql.org/support/security/CVE-2025-1094/
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-postgresql16-cve-2025-109450548492/?sphrase_id=806649
Для СУБД «Tantor»: обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10.3, предоставляемого в личном кабинете пользователя https://lk-new.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Для СУБД «Platform V Pangolin DB»: обновление программного обеспечения до версии 6.4.2_cve0 или выше
Для ОС Astra Linux:
обновить пакет postgresql-15 до 15.12-astra.se1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18
Для ОС Astra Linux:
обновить пакет postgresql-11 до 1:11.22-astra.se5.4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 99%
0.8363
Высокий
9.8 Critical
CVSS3
10 Critical
CVSS2
EPSS
Процентиль: 99%
0.8363
Высокий
9.8 Critical
CVSS3
10 Critical
CVSS2