CVE-2025-1094（深刻なPostgreSQL SQLインジェクションの脆弱性）の概念実証エミュレーションと分析。Dockerベースのラボ環境、エクスプロイトスクリプト、根本原因分析、セキュリティテストと教育のためのステップバイステップのデモを含みます。
2025年3月14日に実施されたこの詳細な調査では、提供されたエミュレーション設定と概念実証（PoC）の実行に基づいて、PostgreSQLにおける仮想的な高深刻度SQLインジェクション脆弱性であるCVE-2025-1094を調査します。分析では、脆弱性の概要、根本原因、ファイルの寄与、PoCの手順、および緩和策をカバーし、エミュレーションプロセスからのすべての複雑な詳細を組み込んでいます。
CVE-2025-1094は、PostgreSQLにおける深刻なSQLインジェクションの欠陥として説明されており、バージョン17.3、16.7、15.11、14.16、13.19より前のバージョンに影響し、CVSS 3.1基本スコアは8.1で、機密性、完全性、可用性に重大な影響を与えることを示しています。これにより、攻撃者は機密データにアクセスしたり、リモートコード実行（RCE）を行ったりすることが可能であり、BeyondTrustインシデント（17のエンタープライズ顧客に影響、BleepingComputer で報告）や米国財務省の侵害（The Register で詳細）などの実際の侵害で悪用されています。2025年3月14日に実施されたエミュレーションでは、server_encoding=EUC_TW と client_encoding=BIG5 を用いたDocker設定を使用し、エクスプロイトをトリガーするために重要でした。PoCでは、DOブロックを注入してラージオブジェクトを作成し、pg_read_file で /etc/passwd を読み取り、lo_put でラージオブジェクトに書き込み、lo_export で /tmp/payload にエクスポートすることで、エンコーディングの不一致が不正なファイルアクセスを可能にする役割を確認しました。
根本原因はCWE-149（引用構文の不適切な無効化）に分類され、PostgreSQLのlibpq関数（PQescapeLiteral()、PQescapeIdentifier()、PQescapeString()、PQescapeStringConn()）における不適切な処理が関係しており、これらの関数は、結果が psql コマンドラインツールへの入力の構築に使用されるときに引用構文を無効化できません。これは、client_encoding がBIG5に設定され、server_encoding がEUC_TWに設定されている場合（当設定で見られるように）に悪化し、SQLインジェクションを許容します。エミュレーションでは、不一致を作り出すためにEUC_TWと zh_TW.EUC_TW が必要であり、psycopg2 がEUC_TWをサポートしていないなどの問題は、UTF8で接続してからBIG5に切り替えることで解決しました。エクスプロイトの成功は、subprocess.run(["psql", ...]) を介して生のSQLを実行し、安全なクエリ処理をバイパスすることにかかっていました（ログに詳述）。
2025年3月14日に実行されたPoCは、以下の手順を通じてエクスプロイトの影響を示しており、各手順には詳細な説明が含まれています。
sudo docker compose up --build
db および app）を構築して起動し、必要に応じて更新されたイメージでコンテナを作成し、postgre_default ネットワークでリンクします。脆弱な環境が設定されることを保証し、db はEUC_TWエンコーディングを使用し、app はポート5000で /vuln-endpoint を公開します。これはエクスプロイトのエンコーディング不一致とエンドポイントアクセスにとって重要です。curl -X POST http://localhost:5000/vuln-endpoint -d "input=test"
input=test を使用してFlaskアプリのエンドポイントにPOSTリクエストを送信し、接続性と基本機能を確認し、"Executed" を期待します。アプリが実行中でデータベースに接続できることを確認し、エクスプロイトの準備ができていることを保証します。
python3 cve-2025-1094-exploit.py
/etc/passwd を書き込み、/tmp/payload にエクスポートし、実行ステータスを出力します。SQLインジェクションをトリガーし、脆弱性を悪用して を読み取ります。これはCVE-2025-1094の影響を示すために重要であり、ログに成功したファイルエクスポートが確認されます。Vimeoのデモンストレーションビデオ
クリックしてVimeoでPoCのデモをご覧ください。
CVE-2025-1094を緩和するには、エミュレーションの洞察と業界のガイダンスに基づいて、以下の対策が推奨されます。
psql へのアクセスを信頼できるユーザーのみに制限し、攻撃対象領域を減らします。| ファイル | 機能 | PoCへの貢献 | 必要な理由 |
|---|
exploit.py | DOブロックを含むPOSTリクエストを送信し、ラージオブジェクトを作成・エクスポートして /etc/passwd を読み取ります。 | SQLインジェクションをトリガーし、エンコーディングの不一致を悪用して任意のSQLコマンドを実行します。 | エクスプロイトの実行を可能にし、PoCの影響にとって重要です。 |
app.py | Flaskアプリで /vuln-endpoint を公開し、psql を介して生のSQLを実行します。 | エクスプロイトのための脆弱なエンドポイントを提供します。 | エクスプロイトのエントリポイントであり、脆弱性のデモンストレーションに必要です。 |
init.sql | 文字列入力用に id VARCHAR(255) のテストテーブルを作成します。 | インジェクションのスキーマを設定し、タイプエラーなしでペイロードの実行を保証します。 | エクスプロイトのデータベース設定、SQLインジェクションに不可欠です。 |
Dockerfile | 必要な依存関係を持つFlaskアプリコンテナを構築します。 | エンドポイントデプロイメント用の分離されたアプリサービスを作成します。 | 脆弱なアプリをデプロイし、PoCの再現性にとって重要です。 |
docker-compose.yml | 特定の構成で db と app サービスを定義しリンクします。 | 設定をオーケストレーションし、エンコーディングの不一致とサービスの依存関係を保証します。 | サービスをリンクし、環境設定と分離に不可欠です。 |
Dockerfile.db | EUC_TWエンコーディングのPostgreSQLコンテナを構築します。 | 必要なエンコーディングで脆弱なデータベースを作成します。 | 必要なエンコーディングでデータベースを設定し、脆弱性トリガーにとって重要です。 |
/etc/passwd
sudo docker ps
postgre-app-1 と postgre-db-1 が稼働していることを確認します。エクスプロイトを実行する前に設定を確認し、両方のサービスがアクティブであることを保証します。これはPoCの信頼性にとって重要です。ユーザーにコンテナIDを提供し、後続のコマンドで必要となります。sudo docker exec -it bash -c "LC_ALL=C ls -l /tmp/payload && LC_ALL=C cat /tmp/payload"
postgre-db-1 コンテナ内でコマンドを実行し、英語出力で /tmp/payload を一覧表示して表示し、エクスプロイトの結果（/etc/passwd が表示されるはず）を確認します。ファイルを確認してエクスプロイトが機能したことを確認し、/tmp/payload に機密データが含まれていることを保証し、PoC検証と一致し、LC_ALL=C でロケールの文字化けを回避します。
sudo docker exec -it psql -U postgres -d postgres -c "SELECT * FROM test;"
test テーブルからすべてを選択し、エクスプロイトからのINSERTを確認します（"Exploit ran with loid ..." が表示されるはず）。エクスプロイトによるデータベースの変更を確認し、DOブロックが実行されたことを保証し、PoC検証と一致し、loid のログを検証します。sudo docker compose down