Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] PostgreSQL opravuje 1 zranitelnost
PostgreSQL verzemi 16.4, 15.8, 14.13, 13.16 a 12.20 opravuje 1 zranitelnost a několik chyb, kterým nebyl přidělen identifikátor CVE. Podrobnosti lze nalézt na [1].
Autentizovanému vzdálenému útočníkovi s oprávněními k vytváření a rušení permanentních objektů je umožněno provést SQL injection útok, přičemž kód bude spuštěn s právy procesu "pg_dump" (obvykle superuživatel). Pro zabránění zneužití zranitelnosti je nutné, aby jak stroj, ze kterého je vytvářena záloha, tak stroj, který vytváří zálohu pomocí nástroje "pg_dump", byl aktualizován na jednu z opravených verzí a zároveň je nutné správně nastavit parametr "restrict_nonsystem_relation_kind " [1]. Popis tohoto parametru lze nalézt na [2].
Zranitelnost se nachází v produktu:
- PostgreSQL; >=16, <16.4; >=15, <15.8; >=14, <14.13; >=13, <13.16; >=12, <12.20;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-7348 na cve.org, NVD
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition na cwe.mitre.org
Zranitelnost byla veřejně oznámena 8. 8. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 9. 8. 2024.