Steffen Joeris discovered that PyGreSQL 3.8 did not use PostgreSQL's safe string and bytea functions in its own escaping functions. As a result, applications written to use PyGreSQL's escaping functions are vulnerable to SQL injections when processing certain multi-byte character sequences. Because the safe functions require a database connection, to maintain backwards compatibility, pg.escape_string() and pg.escape_bytea() are still available, but applications will have to be adjusted to use the new pyobj.escape_string() and pyobj.escape_bytea() functions. For example, code containing :

import pg connection = pg.connect(...) escaped = pg.escape_string(untrusted_input)

should be adjusted to use :

import pg connection = pg.connect(...) escaped = connection.escape_string(untrusted_input).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that pygresql, a PostgreSQL module for Python, was missing a function to call PQescapeStringConn(). This is needed, because PQescapeStringConn() honours the charset of the connection and prevents insufficient escaping, when certain multibyte character encodings are used. The new function is called pg_escape_string(), which takes the database connection as a first argument. The old function escape_string() has been preserved as well for backwards compatibility.

Developers using these bindings are encouraged to adjust their code to use the new function.

Python 用の PostgreSQL モジュールである pygresql に、PQescapeStringConn() を呼び出す関数がないことが判明しました。特定のマルチバイト文字エンコーディングが使用されるとき、PQescapeStringConn() が接続の charset を尊重し不十分なエスケープを防ぐので、これが必要です。新しい関数は pg_escape_string() と呼ばれ、データベース接続を最初の引数として受け入れます。古い関数の escape_string() も後方互換性のため保存されています。

これらのバインディングを使用している開発者には、コードを改良して新しい関数を使用することが推奨されます。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Python 用の pygresql モジュール 3.8.1 ［］および 4.0 ［］は、PQescapeStringConn 関数を適切にサポートしていません。このため、リモートの攻撃者が、マルチバイト文字エンコーディングに関連するエスケープの問題を利用する可能性があります。
    (CVE-2009-2940)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Python 的 pygresql 模組 3.8.1 和 4.0 未正確支援 PQescapeStringConn 函式，其可能允許遠端攻擊者利用涉及多位元組字元編碼的逸出問題。
    (CVE-2009-2940)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 用于 Python 的 pygresql 模块 3.8.1 和 4.0 未正确支持 PQescapeStringConn 函数，这可能允许远程攻击者利用涉及多字节字符编码的转义问题。
    (CVE-2009-2940)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The pygresql module 3.8.1 and 4.0 for Python does not properly support the PQescapeStringConn function,     which might allow remote attackers to leverage escaping issues involving multibyte character encodings.
    (CVE-2009-2940)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
43108	Ubuntu 8.04 LTS / 8.10 : pygresql vulnerability (USN-870-1)	Nessus	Ubuntu Local Security Checks	2009/12/11	2021/1/19	high
44776	Debian DSA-1911-1 : pygresql - missing escape function	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high
44776	Debian DSA-1911-1：pygresql - エスケープ関数の欠如	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high
217154	Linux Distros のパッチ未適用の脆弱性: CVE-2009-2940	Nessus	Misc.	2025/3/3	2025/3/3	high
217154	Linux Distros 未修補弱點：CVE-2009-2940	Nessus	Misc.	2025/3/3	2025/3/3	high
217154	Linux Distros 未修补的漏洞: CVE-2009-2940	Nessus	Misc.	2025/3/3	2025/3/3	high
217154	Linux Distros Unpatched Vulnerability : CVE-2009-2940	Nessus	Misc.	2025/3/3	2025/3/3	high

检测

插件搜索

high

high

high

high

high

high

high