pgx is a PostgreSQL driver and toolkit for Go. Prior to version 4.18.2, SQL injection can occur when all of the following conditions are met: the non-default simple protocol is used; a placeholder for...
概要
pgx is a PostgreSQL driver and toolkit for Go. Prior to version 4.18.2, SQL injection can occur when all of the following conditions are met: the non-default simple protocol is used; a placeholder for a numeric value must be immediately preceded by a minus; there must be a second placeholder for a s...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
pgx is a PostgreSQL driver and toolkit for Go. Prior to version 4.18.2, SQL injection can occur when all of the following conditions are met: the non-default simple protocol is used; a placeholder for a numeric value must be immediately preceded by a minus; there must be a second placeholder for a string value after the first placeholder; both must be on the same line; and both parameter values must be user-controlled. The problem is resolved in v4.18.2. As a workaround, do not use the simple protocol or do not place a minus directly before a placeholder.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
pgxはGo用のPostgreSQLドライバーで、バージョン4.18.2より前ではSQLインジェクションの脆弱性が存在します。これは、特定の条件下で非デフォルトのシンプルプロトコルを使用した場合に発生します。問題はバージョン4.18.2で修正されています。ワークアラウンドとして、シンプルプロトコルを使わないか、プレースホルダーの前にマイナスを置かないようにします。
pgxにおけるSQLインジェクションの脆弱性
pgxのバージョン4.18.2未満
Go言語で使用されるPostgreSQLドライバーにおいて、ユーザー制御可能なパラメータを通じてSQLインジェクションが可能。CVSSスコアは8.1で、高い重要性を持つ。
バージョン4.18.2にアップデートして、脆弱性を修正する。
シンプルプロトコルを使用しないか、プレースホルダーの前にマイナスを置かない。
pgxを使用しているコードを確認し、該当バージョンを使っていないかチェックする。
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2024-27289 golang-github-jackc-pgx
- Ubuntu UBUNTU-CVE-2024-27289 golang-github-jackc-pgx
参照URL
- advisory sonarsource.com
- patch github.com
- patch github.com