CVE-2019-9193
في PostgreSQL من الإصدار 9.3 حتى 11.2، تتيح وظيفة "COPY TO/FROM PROGRAM" للمستخدمين الأعلى صلاحية (superusers) والمستخدمين في مجموعة...
- تم النشر
- 01/04/2019
- محدث
- 15/11/2024
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 08/05/2019
CVSS الأساسي
nvd · CVSS 2.0
AV:N/AC:L/Au:S/C:C/I:C/A:Cمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.8%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
في PostgreSQL من الإصدار 9.3 حتى 11.2، تتيح وظيفة "COPY TO/FROM PROGRAM" للمستخدمين الأعلى صلاحية (superusers) والمستخدمين في مجموعة 'pg_execute_server_program' تنفيذ تعليمات برمجية عشوائية في سياق مستخدم نظام التشغيل الخاص بقاعدة البيانات. هذه الوظيفة مفعّلة افتراضيًا ويمكن إساءة استخدامها لتشغيل أوامر نظام تشغيل عشوائية على أنظمة Windows وLinux وmacOS. ملاحظة: يدّعي/يصرّح أطراف ثالثة أن هذه ليست مشكلة لأن وظيفة 'COPY TO/FROM PROGRAM' في PostgreSQL تعمل على النحو المقصود. وتشير المراجع إلى أنه في PostgreSQL، يمكن للمستخدم الأعلى صلاحية تنفيذ أوامر بصفة مستخدم الخادم دون استخدام 'COPY FROM PROGRAM'.
المصادر
postgres/CVE-2019-9193
PostgreSQL Arbitrary Command Execution with Admin Privileges (CVE-2019-9193)
Vulhub vulnerability labsالشروط المعلنة
- lab image version: vulhub/postgres:10.7(postgres/CVE-2019-9193/docker-compose.yml:services.postgres.image)
modules/exploits/multi/postgres/postgres_copy_from_program_cmd_exec.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux,OSX,Unix,Windows,Windows($.exploit_multi/postgres/postgres_copy_from_program_cmd_exec.platform)
- verification: check_declared($.exploit_multi/postgres/postgres_copy_from_program_cmd_exec.check)
javascript/cves/2019/CVE-2019-9193.yaml
Nuclei Templatesالشروط المعلنة
- verification: regex,word($.matchers[*].type)
CVE-2019–9193 - PostgreSQL 9.3-12.3 Authenticated Remote Code Execution
- CVE-2019-9193-Postgresql-RCEاستغلال
نص برمجي لاستغلال الثغرة CVE-2019-9193 بلغة Python، يتيح تنفيذ التعليمات البرمجية عن بُعد على قواعد بيانات PostgreSQL الضعيفة عبر حقن أوامر مصادق عليه.
- CVE-2019-9193استغلال
هي أداة PoC مصممة لاستغلال ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) موثّقة في إصدارات محددة من PostgreSQL (9.3 - 11.7).
يُحاكي هذا المختبر CVE-2019-9193 - PostgreSQL COPY FROM PROGRAM RCE
إثبات مفهوم لاستغلال تنفيذ الأوامر عن بُعد المُصادق عليه في PostgreSQL 9.6.1، يوضح كيف يمكن استغلال قواعد البيانات غير المُهيأة بشكل صحيح للوصول إلى النظام.
أداة إثبات المفهوم (PoC) مصممة لاستغلال ثغرة تنفيذ كود عن بعد (RCE) مصادق عليها في إصدارات معينة من PostgreSQL (9.3 - 11.7)
مختبر قائم على Docker يوضح CVE-2019-9193 تنفيذ أوامر عشوائية في PostgreSQL عبر COPY FROM PROGRAM، مع PoC خطوة بخطوة للاختبار الأمني والتعليم.
- cve-2019-9193استغلال
PostgreSQL تنفيذ التعليمات البرمجية عن بُعد
Metasploit · multiple · 08/05/2019
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.