BDU:2024-01541 (CVE-2024-1597) — уязвимость драйвера JDBC pgjdbc для подключения Java-программ к базе данных PostgreSQL
По данным БДУ ФСТЭК России, по состоянию на 25.03.2026.
Критический — 10.0/10 Публичный эксплойт Устранена
Уязвимость драйвера JDBC pgjdbc для подключения Java-программ к базе данных PostgreSQL связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путем отправки специально сформированного SQL-запроса
Кого касается и что делать
- Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; pgjdbc (PostgreSQL Global Development Group) — версии от 42.2.0 до 42.2.28, от 42.3.0 до 42.3.9, от 42.4.0 до 42.4.4, от 42.5.0 до 42.5.5, от 42.6.0 до 42.6.1, от 42.7.0 до 42.7.2; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.11; и ещё 3 позиции
- Что делать: уязвимость устранена производителем — применить исправления: github.com, repo.red-soft.ru, abf.rosa.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2024-01541 · CVE-2024-1597 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 10.0; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость драйвера JDBC pgjdbc для подключения Java-программ к базе данных PostgreSQL, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 25.02.2024 · Обновлена ФСТЭК: 25.03.2026 · Выявлена: 19.02.2024 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-89 — непринятие мер по защите структуры запроса SQL (атаки типа "внедрение SQL") |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
- pgjdbc (PostgreSQL Global Development Group) — версии от 42.2.0 до 42.2.28, от 42.3.0 до 42.3.9, от 42.4.0 до 42.4.4, от 42.5.0 до 42.5.5, от 42.6.0 до 42.6.1, от 42.7.0 до 42.7.2 · сетевое программное средство, прикладное ПО информационных систем
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.11 · операционная система
- Программный комплекс информационной системы «Формирование ПД» (ООО «НеМо») — до RU.53305691.00007-03 · прикладное ПО информационных систем
- ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства
- GitFlic (ООО «Ресолют») — до 4.8.2 включительно · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
— использование режима запроса по умолчанию;
— при настройке свойств соединения не использовать значение параметра preferQueryMode=simple;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа.
Использование рекомендаций производителя:
github.com/pgjdbc/pgjdbc/security/advisories/GHSA-24rp-q3…
- Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
- Для ОСОН ОСнова Оnyx (2.11): Обновление программного обеспечения libpgjava до версии 42.2.5-2+deb10u4; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-2829
- Для «GitFlic» Self-hosted: Обновление программного обеспечения, применение обновления «GitFlic» 4.8.3, предоставляемого в личном кабинете пользователя lk.astralinux.ru/ (wiki.astralinux.ru/x/ziLoD), а также на официальном сайте GitFlic gitflic.ru/project/gitflic/gitflic/release
