云数据库 PostgreSQL 版
云数据库 PostgreSQL 版
文档指南
请输入
- 文档首页
云数据库 PostgreSQL 版产品动态安全公告【漏洞预警】PostgreSQL PL/Perl 环境变量读写（CVE-2024-10979）
复制全文
下载 pdf【漏洞预警】PostgreSQL PL/Perl 环境变量读写（CVE-2024-10979）
文档反馈
问问助手漏洞背景
PostgreSQL 是一款开源关系型数据库管理系统，PL/Perl 是一种可用于编写 PostgreSQL 函数的脚本语言。PostgreSQL PL/Perl 扩展存在环境变量读写漏洞，会导致部分系统与进程环境变量被窃取或覆盖，在特定条件下可能进一步造成权限接管或代码执行。
风险等级
高危
漏洞状态
截止 2024 年 11 月 18 日 18:00:00（UTC+8）
漏洞细节 | PoC 状态 | 在野利用 |
已公开 | 已公开 | 未发现 |
影响范围
影响使用了 plperl 扩展的如下版本 PostgreSQL：
- 17 ≤ PostgreSQL < 17.1
- 16 ≤ PostgreSQL < 16.5
- 15 ≤ PostgreSQL < 15.9
- 14 ≤ PostgreSQL < 14.14
- 13 ≤ PostgreSQL < 13.17
- 12 ≤ PostgreSQL < 12.21
说明
PostgreSQL ≤ 11.22 的版本官方已不再维护
修复建议
自建服务请将 PostgreSQL 升级至如下版本或更高版本：
- 17.1, 16.5, 15.9, 14.14, 13.17, 12.21
其他修复方案
- 禁用并卸载 plperl 扩展
- 使用防火墙或安全组限定仅可信 IP 连接
- 设置强口令，避免服务无鉴权/弱口令对外暴露
- 使用安全的预编译和 SQL 过滤方案，避免 SQL 堆叠注入
参考链接
最近更新时间：2025.07.22 10:56:14
这个页面对您有帮助吗？
有用
有用
无用
无用