CVE-2022-26520

Versões do pgjdbc anteriores à 42.3.3

O problema está relacionado à criação de arquivos arbitrários por meio das propriedades de conexão loggerFile e loggerLevel no driver pgjdbc. Um invasor que controle a URL ou as propriedades JDBC pode chamar java.util.logging.FileHandler para gravar em arquivos arbitrários. Isso poderia permitir que um invasor criasse um arquivo JSP executável na raiz da web do Tomcat, levando potencialmente à execução remota de código. A posição do fornecedor é que não se trata de uma vulnerabilidade no próprio driver pgjdbc, mas sim de uma vulnerabilidade em qualquer aplicativo que utilize o driver pgjdbc com propriedades de conexão não confiáveis.

Para versões anteriores à 42.3.3, considere atualizar para a versão 42.3.3 ou posterior, na qual a implementação do loggerFile foi removida.

Como solução alternativa temporária, sanitize as entradas para o driver para impedir o uso indevido das propriedades de conexão loggerFile e loggerLevel.

Restrinja o acesso à URL jdbc e às propriedades de conexão para impedir que usuários não confiáveis especifiquem valores arbitrários.