リモートのMiracleLinux 7ホストには、AXSA:2025-11539:05のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    * CVE-2025-1094データクォート関数の不適切なエンコーディング検証によって可能になった潜在的な SQL インジェクションを修正します CVE
    CVE-2025-1094 PostgreSQL の libpq 関数である PQescapeLiteral()、PQescapeIdentifier()、PQescapeString()、および PQescapeStringConn() における引用構文の不適切な中立化により、データベース入力プロバイダーは、特定の使用パターンで SQL インジェクションを達成できます。具体的には、SQL インジェクションでは、アプリケーションが関数結果を使用して、PostgreSQL 対話型ターミナルである psql への入力を構築する必要があります。同様に、PostgreSQL コマンドラインユーティリティプログラムの引用構文の不適切な無効化により、client_encoding が BIG5 で、server_encoding が EUC_TW または MULE_INTERNAL のいずれかである場合、コマンドライン引数のソースが SQL インジェクションを達成する可能性があります。PostgreSQL 17.3、16.7、15.11、14.16、13.19 より前のバージョンが影響を受けます。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 7postgresql-9.2.24-9.0.5.el7.AXS7AXSA:2025-11539:05

high Nessus プラグイン ID 283106

バージョン 1.1