CVE-2019-9193
Dans PostgreSQL 9.3 à 11.2, la fonction "COPY TO/FROM PROGRAM" permet aux superutilisateurs et aux utilisateurs du groupe 'pg_execute_server_program'...
- Publié
- 1 avr. 2019
- Mise à jour
- 15 nov. 2024
- Attribution de CNA
- mitre
- Preuve observée
- 8 mai 2019
CVSS primaire
nvd · CVSS 2.0
AV:N/AC:L/Au:S/C:C/I:C/A:CÉlevé · 30 prochains jours
- Percentile
- 99,8 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Dans PostgreSQL 9.3 à 11.2, la fonction "COPY TO/FROM PROGRAM" permet aux superutilisateurs et aux utilisateurs du groupe 'pg_execute_server_program' d'exécuter du code arbitraire dans le contexte de l'utilisateur du système d'exploitation de la base de données. Cette fonctionnalité est activée par défaut et peut être abusée pour exécuter des commandes arbitraires du système d'exploitation sur Windows, Linux et macOS. REMARQUE : Des tiers affirment/déclarent que ce n'est pas un problème, car la fonctionnalité PostgreSQL ‘COPY TO/FROM PROGRAM’ agit comme prévu. Les références indiquent que dans PostgreSQL, un superutilisateur peut exécuter des commandes en tant qu'utilisateur du serveur sans utiliser ‘COPY FROM PROGRAM’.
Sources
postgres/CVE-2019-9193
PostgreSQL Arbitrary Command Execution with Admin Privileges (CVE-2019-9193)
Vulhub vulnerability labsConditions déclarées
- lab image version: vulhub/postgres:10.7(postgres/CVE-2019-9193/docker-compose.yml:services.postgres.image)
modules/exploits/multi/postgres/postgres_copy_from_program_cmd_exec.rb
Metasploit Framework modulesConditions déclarées
- platform: Linux,OSX,Unix,Windows,Windows($.exploit_multi/postgres/postgres_copy_from_program_cmd_exec.platform)
- verification: check_declared($.exploit_multi/postgres/postgres_copy_from_program_cmd_exec.check)
javascript/cves/2019/CVE-2019-9193.yaml
Nuclei TemplatesConditions déclarées
- verification: regex,word($.matchers[*].type)
CVE-2019–9193 - PostgreSQL 9.3-12.3 Exécution de code à distance authentifiée
- CVE-2019-9193-Postgresql-RCEExploit
Script d'exploitation Python pour CVE-2019-9193, permettant l'exécution de code à distance sur des bases de données PostgreSQL vulnérables via une injection de commande authentifiée.
- CVE-2019-9193Exploit
est un outil PoC conçu pour exploiter une vulnérabilité d'exécution de code à distance (RCE) authentifiée dans des versions spécifiques de PostgreSQL (9.3 - 11.7)
- CVE-2019-9193-Home-LabRecherche
Ce laboratoire simule la CVE-2019-9193 - RCE PostgreSQL COPY FROM PROGRAM
Exploit de preuve de concept pour l'exécution de code à distance authentifiée dans PostgreSQL 9.6.1, montrant comment des bases de données mal configurées peuvent être utilisées pour accéder au système.
Outil PoC conçu pour exploiter une vulnérabilité authentifiée d'exécution de code à distance (RCE) dans certaines versions de PostgreSQL (9.3 - 11.7)
Laboratoire basé sur Docker démontrant l'exécution arbitraire de commandes PostgreSQL via COPY FROM PROGRAM (CVE-2019-9193), avec un PoC étape par étape pour les tests de sécurité et la formation.
- cve-2019-9193Exploit
Exécution de code à distance PostgreSQL
Metasploit · multiple · 8 mai 2019
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.