Linux Distros 未修补的漏洞: CVE-2022-31197
high Nessus 插件 ID 224607
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- PostgreSQL JDBC 驱动程序（简称 PgJDBC）允许 Java 程序使用独立于数据库的标准 Java 代码连接到 PostgreSQL 数据库。`java.sql.ResultRow.refreshRow()` 方法的 PGJDBC 实现未对列名称进行转义，因此包含语句终止符（例如 `;`）的恶意列名称可能导致 SQL 注入。这可能导致以应用程序的 JDBC 用户身份执行其他 SQL 命令。不调用 `ResultSet.refreshRow()` 方法的用户应用程序不受影响。如果调用该方法的用户应用程序通过其 JDBC 应用程序查询的底层数据库可能受攻击者控制，则该用户应用程序会受到影响。此攻击要求攻击者诱骗用户针对包含恶意 SQL 的列名称执行 SQL，然后在 ResultSet 上调用 `refreshRow()` 方法。请注意，应用程序的 JDBC 用户和方案所有者不必为同一人。以特权用户身份执行查询由潜在恶意的低特权用户拥有的数据库方案的 JDBC 应用程序将很容易受到攻击。在这种情况下，恶意用户可能会特制方案，导致应用程序以特权用户的身份执行命令。修补后的版本将作为“42.2.26”和 “42.4.1”发布。建议所有用户都进行升级。目前尚无针对此问题的解决方案。(CVE-2022-31197)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。插件详情
严重性: High
ID: 224607
文件名: unpatched_CVE_2022_31197.nasl
版本: 1.1
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/5
最近更新时间: 2025/3/5
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 9
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2022-31197
CVSS v3
风险因素: High
基本分数: 8
时间分数: 7.2
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2022/8/3
参考资料信息
CVE: CVE-2022-31197