Gentoo Soko面临SQL注入漏洞风险

关键要点

• Gentoo Soko存在两个已被修复的SQL注入漏洞，可能导致远程代码执行和敏感数据泄露。
• 漏洞被标记为CVE-2023-28424，由于数据库配置不当而衍生，并未被对象关系映射库及预编译语句防护。
• 该漏洞能够泄露PostgreSQL服务器的版本，并在系统上执行任意命令。
• 最近另外发现Odoo开源商业套件中的跨站脚本漏洞，可能遭到用以进行身份冒充攻击和数据外泄。
• 其他开源软件如OpenEMR和Pretalx也被发现存在可能使任意代码远程执行的安全缺陷。

针对Gentoo Linux基础设施的Gentoo Soko 模块存在若干SQL注入漏洞，这些漏洞可能被攻击者利用，从而实施远程代码执行攻击，导致敏感数据的泄露。根据的报道，这些漏洞被追踪为CVE-2023-28424 ，其根本原因是数据库配置错误，且未被对象关系映射库和预编译语句所防止，SonarSource的研究员Thomas Chauchefoin 表示：“这些SQL注入漏洞是可以被利用的，且能够泄露PostgreSQL服务器的版本，并在系统上执行任意命令。”

此外，SonarSource最近还发现了影响Odoo 开源商业套件的另一种跨站脚本漏洞，这可能会被用于进行身份冒充攻击和数据外泄活动。与此同时，其他一些开源软件，例如OpenEMR 和Pretalx ，也在今年早些时候被发现存在安全缺陷，可能允许远程执行任意代码的情况出现。

对于开发者和维护人员来说，密切关注这些安全漏洞的指示非常重要，并及时更新和修补相关软件以增强安全性。