## 漏洞背景 PostgreSQL 是一款开源关系型数据库管理系统，PL/Perl 是一种可用于编写 PostgreSQL 函数的脚本语言。PostgreSQL PL/Perl 扩展存在环境变量读写漏洞，会导致部分系统与进程环境变量被窃取或覆盖，在特定条件下可能进一步造成权限接管或代码执行。 ## 风险等级高危 ## 漏洞状态截止 2024 年 11 月 18 日 18:00:00（UTC+8） |

漏洞细节

|

PoC 状态

|

在野利用

|\ |---|---|---| | | | | |

已公开

|

已公开

|

未发现

|\ | | | | ## 影响范围影响使用了 plperl 扩展的如下版本 PostgreSQL： * 17 ≤ PostgreSQL < 17.1 * 16 ≤ PostgreSQL < 16.5 * 15 ≤ PostgreSQL < 15.9 * 14 ≤ PostgreSQL < 14.14 * 13 ≤ PostgreSQL < 13.17 * 12 ≤ PostgreSQL < 12.21 :::tip PostgreSQL ≤ 11.22 的版本官方已不再维护 ::: ## 修复建议自建服务请将 PostgreSQL 升级至如下版本或更高版本： * 17.1, 16.5, 15.9, 14.14, 13.17, 12.21 云数据库 PostgreSQL 请关注[产品公告](https://www.volcengine.com/docs/6438/102441)动态，在新版本推出后升级至安全版本。 ### 其他修复方案 * 禁用并卸载 plperl 扩展 * 使用防火墙或安全组限定仅可信 IP 连接 * 设置强口令，避免服务无鉴权/弱口令对外暴露 * 使用安全的预编译和 SQL 过滤方案，避免 SQL 堆叠注入 ## 参考链接 1. [https://seclists.org/oss-sec/2024/q4/100](https://seclists.org/oss-sec/2024/q4/100) 2. [https://www.postgresql.org/support/security/CVE-2024-10979/](https://www.postgresql.org/support/security/CVE-2024-10979/) 3. [https://www.postgresql.org/docs/current/plperl.html](https://www.postgresql.org/docs/current/plperl.html) 4. [https://redrays.io/blog/reproducing-cve-2024-10979-a-step-by-step-guide/](https://redrays.io/blog/reproducing-cve-2024-10979-a-step-by-step-guide/)

云数据库 PostgreSQL 版