BDU:2025-01601

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8) CVSS 9.800000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уязвимость функций PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() и PQescapeStringConn() библиотеки libpq системы управления базами данных PostgreSQL, позволяющая нарушителю выполнить произвольный код

Соответствие зарубежным идентификаторам

CVE-2025-1094

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость функций PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() и PQescapeStringConn() библиотеки libpq системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования для ограничения удаленного доступа к уязвимому программному средству; - использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному средству; - использование SIEM-систем для отслеживания попыток эксплуатации уязвимости; - использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания попыток эксплуатации уязвимости. Использование рекомендаций производителя: https://www.postgresql.org/support/security/CVE-2025-1094/ Для РЕД ОС: https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-postgresql16-cve-2025-109450548492/?sphrase_id=806649 Для СУБД «Tantor»: обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10.3, предоставляемого в личном кабинете пользователя https://lk-new.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD) Для СУБД «Platform V Pangolin DB»: обновление программного обеспечения до версии 6.4.2_cve0 или выше Для ОС Astra Linux: обновить пакет postgresql-15 до 15.12-astra.se1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18 Для ОС Astra Linux: обновить пакет postgresql-11 до 1:11.22-astra.se5.4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47 Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2828 Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2827 Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2025-2787 https://abf.rosa.ru/advisories/ROSA-SA-2025-3037 https://abf.rosa.ru/advisories/ROSA-SA-2025-3036 Обновление программного обеспечения postgresql-15 до версии 15.14+repack1-1osnova1 Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:1738?lang=ru

Сведения записи

Дата публикации: 17.02.2025

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
PostgreSQL Global Development Group	PostgreSQL	до 13.19	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 14.16	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 15.11	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 16.7	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 17.3	Не указана
Postgres Professional	Postgres Pro Certified	до 14.17.1	Не указана
Postgres Professional	Postgres Pro Certified	до 15.12.1	Не указана
Postgres Professional	Postgres Pro Certified	до 16.8.1	Не указана
Postgres Professional	Postgres Pro Certified	до 17.4.1	Не указана
АО «НППКТ»	ОСОН ОСнова Оnyx	до 2.14	Не указана
АО «НТЦ ИТ РОСА»	ROSA Virtualization 3.0	3.0	Не указана
АО «НТЦ ИТ РОСА»	РОСА Кобальт	7.9	Не указана
АО «СберТех»	Platform V Pangolin SE	до 6.4.2 включительно	Не указана
ООО «НЦПР»	МСВСфера	9.5	Не указана
ООО «Ред Софт»	РЕД ОС	7.3	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	1.7	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	1.8	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	4.7	Не указана
ООО «Тантор Лабс»	СУБД «Tantor»	до 15.10.3	Не указана
Сообщество свободного программного обеспечения	libpq	-	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.