Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] PostgreSQL opravuje 4 zraniteľnosti

PostgreSQL vo verziách 17.1, 16.5, 15.9, 14.14, 13.17, a 12.21 opravuje 4 zraniteľnosti. Verzia 12 už nebude ďalej podporovaná, preto sa odporúča prechod na novšie verzie produktu [1].

PostgreSQL - RCE (CVE-2024-10979)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je z dôvodu nesprávnej kontroly premenných prostredia v PostgreSQL PL/Perl umožnené zmeniť citlivé premenné prostredia (napr. PATH), čo môže viesť k spusteniu kódu na databázovom serveri, bez toho aby mal útočník prístup k operačnému systému servera [2].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=12.0, <12.21; >=13.0, <13.17; >=14.0, <14.14; >=15.0, <15.9; >=16.0, <16.5; >=17.0, <17.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 11. 2024.

PostgreSQL - neoprávnená manipulácia s údajmi (CVE-2024-10978)
CVSS 4.2 (Medium)

Autentizovanému vzdialenému útočníkovi je cez nesprávne priradenie oprávnení pomocou príkazov "SET ROLE", "SET SESSION AUTHORIZATION" alebo obdobnej funkcie umožnené neoprávnene zobraziť alebo modifikovať riadky v databáze [3].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=12.0, <12.21; >=13.0, <13.17; >=14.0, <14.14; >=15.0, <15.9; >=16.0, <16.5; >=17.0, <17.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 11. 2024.

PostgreSQL - neoprávnená manipulácia s údajmi (CVE-2024-10976)
CVSS 4.2 (Medium)

Autentizovanému vzdialenému útočníkovi je v tabuľkách so zabezpečením na úrovni riadkov z dôvodu nekompletného sledovania zmien používateľského ID umožnené neoprávnene zobraziť alebo modifikovať riadky v databáze. Zraniteľnosť je zneužiteľná v aplikáciách používajúcich poddotazy, dotazy "WITH", "Security Invoker View" alebo SQL funkcie odkazujúce na tabuľky s týmto zabezpečením [4].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=12.0, <12.21; >=13.0, <13.17; >=14.0, <14.14; >=15.0, <15.9; >=16.0, <16.5; >=17.0, <17.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

  • CVE-2024-10976 na cve.org, NVD
  • CWE-1250: Improper Preservation of Consistency Between Independent Representations of Shared State na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 11. 2024.

PostgreSQL - falošné výsledky dotazov (CVE-2024-10977)
CVSS 3.1 (Low)

Autentizovanému vzdialenému útočníkovi je cez odovzdanie ľubovoľných non-NUL bajtov aplikácii libpq umožnené vložiť falošné chybové správy, ktoré môže používateľ považovať za platný výsledok dotazu [5].

Zraniteľnosť sa nachádza v produkte:

  • PostgreSQL; >=12.0, <12.21; >=13.0, <13.17; >=14.0, <14.14; >=15.0, <15.9; >=16.0, <16.5; >=17.0, <17.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 18. 11. 2024.

CESNET, z.s.p.o. Logo