CVE-2022-21724

Versões do pgjdbc anteriores à versão corrigida

Foi encontrada uma falha de segurança no driver pgjdbc para bancos de dados PostgreSQL. O driver instancia instâncias de plug-ins com base nos nomes de classe fornecidos pelas propriedades de conexão authenticationPluginClassName, sslhostnameverifier, socketFactory, sslfactory e sslpasswordcallback. No entanto, ele não verifica se a classe implementa a interface esperada antes de instanciá-la, o que pode levar à execução de código carregado por meio de classes arbitrárias. Isso pode ser explorado quando um invasor controla a URL ou as propriedades do JDBC.

Para o pgjdbc, atualize para uma versão que inclua a correção para este problema.

Como solução temporária, considere restringir o uso das propriedades de conexão vulneráveis authenticationPluginClassName, sslhostnameverifier, socketFactory, sslfactory, sslpasswordcallback até que um patch esteja disponível.

Evite usar plug-ins que possam instanciar classes arbitrárias por meio dessas propriedades até que o problema seja resolvido.