Los actores de amenazas que estuvieron detrás de la explotación de una vulnerabilidad zero-day en los productos BeyondTrust Privileged Remote Access (PRA) y Remote Support (RS) en diciembre de 2024 probablemente también explotaron un fallo de inyección SQL previamente desconocido en PostgreSQL, según los hallazgos de Rapid7.
La vulnerabilidad, rastreada como CVE-2025-1094 (puntuación CVSS: 8,1), afecta a la herramienta interactiva psql de PostgreSQL.
"Un atacante que pueda generar una inyección SQL a través de CVE-2025-1094 puede lograr la ejecución arbitraria de código (ACE) aprovechando la capacidad de la herramienta interactiva para ejecutar metacomandos", dijo el investigador de seguridad Stephen Fewer.
La empresa de ciberseguridad señaló además que hizo el descubrimiento como parte de su investigación sobre CVE-2024-12356, un fallo de seguridad recientemente parcheado en el software BeyondTrust que permite la ejecución remota de código sin autenticación.
En concreto, descubrió que "un exploit exitoso de CVE-2024-12356 tenía que incluir la explotación de CVE-2025-1094 para lograr la ejecución remota de código".
En una revelación coordinada, los mantenedores de PostgreSQL publicaron una actualización para solucionar el problema en las siguientes versiones:
- PostgreSQL 17 (Corregido en 17.3)
- PostgreSQL 16 (Corregido en 16.7)
- PostgreSQL 15 (Corregido en 15.11)
- PostgreSQL 14 (Corregido en 14.16)
- PostgreSQL 13 (Corregido en 13.19)
La vulnerabilidad tiene su origen en la forma en que PostgreSQL gestiona los caracteres UTF-8 no válidos, abriendo así la puerta a un escenario en el que un atacante podría explotar una inyección SQL haciendo uso de un comando de acceso directo ¡\! , que permite la ejecución de comandos de shell.
"Un atacante puede aprovechar CVE-2025-1094 para realizar este meta-comando, controlando así el comando shell del sistema operativo que se ejecuta", dijo Fewer. "Alternativamente, un atacante que pueda generar una inyección SQL a través de CVE-2025-1094 puede ejecutar sentencias SQL arbitrarias controladas por el atacante".
El desarrollo se produce cuando la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha añadido un fallo de seguridad que afecta al software de asistencia remota SimpleHelp (CVE-2024-57727, puntuación CVSS: 7,5) al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo a las agencias federales que apliquen las correcciones antes del 6 de marzo de 2025.
Fuente: thehackernews