CH azonosító
CH-14188Angol cím
PostgreSQL Bugs Let Remote Users Bypass Authentication in Certain Cases and Let Remote Authenticated Users Obtain Passwords and Deny ServiceFelfedezés dátuma
2017.08.10.Súlyosság
MagasÉrintett rendszerek
PostgreSQLPostgreSQL Global Development Group
Érintett verziók
PostgreSQL 9.2.22, 9.3.18, 9.4.13, 9.5.8, 9.6.4 előtti verziók.
Összefoglaló
A PostgreSQL három sérülékenyége vált ismertté, melyeket kihasználva a támadó szolgáltatás megtagadást okozhat, jelszavakat szerezhet meg, valamint hozzáférhet az adatbázishoz. A sérülékenységeket kiküszöbölő megoldás már beszerezhető a gyártótól.
Leírás
A biztonsági frissítés egy magas és két közepes besorolású sérülékenységet javít:
A távoli felhasználó üres jelszót adhat meg, amellyel megkerülheti a hitelesítést olyan adatbázis-kapcsolatokkal, amelyek a libpg protokollt használják a jelszó alapú hitelesítéshez [CVE-2017-7546].
A távoli hitelesített felhasználó az idegen adatbeviteli funkció (foreign data wrapper) hibáját kihasználva megtekintheti a jelszavakat a pg_user_mappings katalógusnézetben [CVE-2017-7547].
A távoli hitelesített felhasználó a lo_put() függvényben a hozzáférés-szabályozási hibát kihasználva megváltoztathatja az adatokat és szolgáltatás megtagadást (DoS) idézhet elő [CVE-2017-7548].
Megoldás
Frissítsen a legújabb verzióraMegoldás
Frissítsen a következő verziók valamelyikére: 9.2.22, 9.3.18, 9.4.13, 9.5.8, 9.6.4
Támadás típusa
Authentication Issues (Hitelesítés)Deny of service (Szolgáltatás megtagadás)
Information disclosure (Információ/adat szivárgás)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
CVE-2017-7546 - NVD CVE-2017-7546
CVE-2017-7547 - NVD CVE-2017-7547
CVE-2017-7548 - NVD CVE-2017-7548
Gyártói referencia: www.postgresql.org
