CVE-2022-31197

El controlador JDBC de PostgreSQL (PgJDBC para abreviar) permite a los programas Java conectarse a una base de datos PostgreSQL usando código Java estándar e independiente de la base de datos. La implementación de PGJDBC del método "java.sql.ResultRow.refreshRow()" no realiza el escape de los nombres de las columnas, por lo que un nombre de columna malicioso que contenga un terminador de sentencia, por ejemplo ";", podría conllevar una inyección SQL. Esto podría conllevar a una ejecución de comandos SQL adicionales como usuario JDBC de la aplicación. Las aplicaciones de usuario que no invocan el método "ResultSet.refreshRow()" no están afectadas. Las aplicaciones de usuario que sí invocan ese método están afectadas si la base de datos subyacente que están consultando por medio de su aplicación JDBC puede estar bajo el control de un atacante. El ataque requiere que el atacante engañe al usuario para que ejecute SQL contra un nombre de tabla cuyos nombres de columna contengan el SQL malicioso y posteriormente invoque el método "refreshRow()" en el ResultSet. Tenga en cuenta que el usuario JDBC de la aplicación y el propietario del esquema no tienen por qué ser el mismo. Una aplicación JDBC que es ejecutado como un usuario privilegiado consultando esquemas de base de datos que pertenecen a usuarios menos privilegiados potencialmente maliciosos sería vulnerable. En esta situación, el usuario malicioso podría diseñar un esquema que causara que la aplicación ejecutara comandos como el usuario privilegiado. Las versiones parcheadas serán publicadas como "42.2.26" y "42.4.1". Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema

A flaw was found in PostgresQL. This flaw allows an attacker to benefit from a miss escaping character and leads to a SQL injection attack due to Java.sql.ResultRow.refreshRow() implementation from PGSQL.