pgAdmin命令执行漏洞的三年

最新推荐文章于 2024-10-08 11:00:56 发布

落沐萧萧

最新推荐文章于 2024-10-08 11:00:56 发布

阅读量1.3k

点赞数 17

本文链接：https://blog.csdn.net/asasd101/article/details/137498161

版权

本文详细分析了pgAdmin在过去三年中出现的三个命令执行漏洞：CVE-2022-4223、CVE-2023-5002和CVE-2024-3116。这些漏洞涉及未授权命令执行，其中CVE-2022-4223是最严重的，允许任意用户在pgAdmin中执行任意命令。漏洞利用涉及命令注入，通过文件上传和路径构造来绕过安全措施。尽管pgAdmin尝试通过增加装饰器和路径有效性检查来修复，但仍有绕过方法。最后，文章指出最新漏洞CVE-2024-3116主要影响Windows环境，因为Linux系统中文件权限机制阻止了漏洞利用。

摘要由CSDN通过智能技术生成

前几天看到pgAdmin发布了新漏洞，《CVE-2024-3116 – Remote Code Execution Vulnerability in pgAdmin - PostgreSQL Tools (<=8.4): Detailed Analysis Report》。看了这个漏洞利用的过程，我总感觉有所不对，我也在『代码审计』知识星球里发表了相关疑问。随后，我研究了一下这个漏洞的来龙去脉，简单写下这篇短文。