PostgreSQL terminal Tool zaifligi hujumchilarga masofaviy kod ishga tushirish imkonini beradi

Yaqinda kiberxavfsizlik bo‘yicha tadqiqotchilar PostgreSQL’ning interaktiv terminal vositasi – psqlda jiddiy SQL in’eksiya (SQL Injection) zaifligini aniqladilar. CVE-2025-1094 nomi bilan belgilangan ushbu zaiflik hujumchilarga masofadan turib istalgan kodni bajarish imkoniyatini beradi.

Ushbu zaiflik aslida BeyondTrust Privileged Remote Access (PRA) va Remote Support (RS) mahsulotlaridagi CVE-2024-12356 zaifligini tadqiq qilish jarayonida aniqlangan. Tadqiqotchilar ushbu ikkita zaiflik bir-biri bilan bog‘liq ekanligini aniqlashdi. CVE-2024-12356 ekspluatatsiya qilinishi uchun CVE-2025-1094 dan foydalanish majburiy bo‘lib chiqdi.

Bu hodisa shuni ko‘rsatadiki, turli tizimlardagi zaifliklar bir-biriga bog‘liq bo‘lishi mumkin va bir zaiflik boshqa xavfsizlik kamchiliklarini ishga tushirish uchun «vosita» vazifasini bajarishi mumkin.

CVE-2025-1094 PostgreSQL’ning qochirilgan (escaped) matnlarni xavfsiz deb noto‘g‘ri qabul qilishiga asoslangan. PostgreSQL ishlab chiquvchilari xavfsiz formatlangan matn SQL in’eksiya uchun xavf tug‘dirmaydi deb hisoblashgan.

Ammo tadqiqotchilar psql noto‘g‘ri kodlangan UTF-8 belgilarini qayta ishlaganda bu nazariya noto‘g‘ri ekanligini aniqlashdi. Hujumchilar ushbu zaiflikdan foydalanib, zararli SQL buyruqlarini kiritish va ularni ijro etishlari mumkin.

Bundan tashqari, psql’ning meta-buyruqlari (!) orqali tizim qobig‘i (shell) orqali buyruqlarni ishga tushirish ham mumkin. Bu esa PostgreSQL orqali barcha tizimni egallab olish imkonini beradi.

CVE-2025-1094 zaifligi CVSS 3.1 baholash tizimida 8.1 ball bilan baholangan bo‘lib, bu katta xavf darajasini anglatadi.

Ta’sir doirasi:

  • PostgreSQL 17.2 va undan oldingi versiyalar
  • PostgreSQL 16.6 va undan oldingi versiyalar
  • PostgreSQL 15.10 va undan oldingi versiyalar
  • PostgreSQL 14.15 va undan oldingi versiyalar
  • PostgreSQL 13.18 va undan oldingi versiyalar

Hujumchilar ushbu zaiflik orqali SQL so‘rovlarini muddatidan oldin yakunlab, ularga qo‘shimcha zararli buyruqlarni kiritish imkoniga ega bo‘lishadi. Bu quyidagi tahdidlarga olib kelishi mumkin:

✅ Ma’lumotlar bazasiga ruxsatsiz kirish – Hujumchilar PostgreSQL bazasiga kirib, undagi barcha ma’lumotlarni o‘g‘irlashi mumkin.
✅ Tizimda kod bajarish (RCE) – psql’dagi meta-buyruqlar orqali hujumchilar tizim darajasida buyruqlarni bajarish imkoniyatiga ega bo‘lishadi.
✅ Barcha tizimni egallash – Agar hujumchi ushbu zaiflikdan foydalanib, yuqori huquqlar bilan buyruqlarni ishga tushirsa, u butun tizimni boshqarishi mumkin.

Muammo shundaki, BeyondTrust tomonidan chiqarilgan CVE-2024-12356 uchun patch (xavfsizlik yangilanishi) CVE-2025-1094 ni to‘liq yopmadi. Natijada, bu zaiflik Rapid7 tomonidan e’lon qilingunga qadar “zero-day” tahdid sifatida qoldi.

PostgreSQL jamoasi zaiflikni bartaraf etish uchun quyidagi yangilanishlarni chiqardi:

✅ PostgreSQL 17.3
✅ PostgreSQL 16.7
✅ PostgreSQL 15.11
✅ PostgreSQL 14.16
✅ PostgreSQL 13.19

Himoya qilish uchun tavsiyalar:

🔹 PostgreSQL ni zudlik bilan yangilang – Rasmiy saytdan yoki tizim yangilanish vositalari orqali so‘nggi versiyalarni o‘rnating.

🔹 Administrator huquqlarini cheklang – PostgreSQL serverlariga faqat kerakli huquqlarga ega foydalanuvchilarga ruxsat bering.

🔹 SQL Injection hujumlariga qarshi qo‘shimcha xavfsizlik choralarini qo‘llang – Masalan, WAF (Web Application Firewall) yoki SQL injection tekshiruv tizimlari dan foydalaning.

🔹 psql’ning meta-buyruqlarini o‘chirib qo‘ying – Agar meta-buyruqlar zarur bo‘lmasa, .psqlrc faylida ulardan foydalanish imkoniyatini cheklang.

🔹 Tizimni doimiy monitoring qiling – Log fayllarni tahlil qilish orqali noma’lum buyruqlar bajarilganini tekshirib boring.

CVE-2025-1094 PostgreSQL’dagi juda jiddiy zaiflik bo‘lib, hujumchilarga masofadan turib kod bajarish imkonini beradi. U BeyondTrust CVE-2024-12356 zaifligi bilan bog‘liq bo‘lib, undan to‘liq foydalanish uchun PostgreSQL’dagi bu zaiflik kerak bo‘lgan.

Barcha PostgreSQL foydalanuvchilari darhol tizimlarini yangilash, SQL Injection himoyasini kuchaytirish, va meta-buyruqlarni cheklash orqali ushbu tahdiddan himoyalanishlari lozim.

Kiberjinoyatlar tobora murakkablashib bormoqda. Har qanday dasturiy ta’minotda aniqlangan zaiflik keng ko‘lamli hujumlar uchun foydalanilishi mumkin. Shu boisdan tizimlaringizni doimo yangilab boring va xavfsizlik choralaringizni kuchaytiring! 🚨

Skip to content