Създадени са корективни актуализации за всички поддържани версии на PostgreSQL 16.4, 15.8, 14.13, 13.16, 12.20, в които са поправени 56 грешки, открити през последните три месеца. Сред новостите в версиите е отстранена уязвимост (CVE-2024-7348), класифицирана като опасна (ниво на опасност 8.8 от 10). Уязвимостта е причинена от състояние на гонка в утилитата pg_dump, позволяваща на атакуващия, който има възможност да създава и изтрива постоянни обекти в СУБД, да изпълни произволен SQL код с правата на потребителя, с които се стартира утилитата pg_dump (обикновено pg_dump се стартира с правата на суперпотребител за архивиране на СУБД).
За успешна атака е необходимо да се проследи моментът на стартиране на утилитата pg_dump, което е лесно за реализиране чрез манипулации с отворена транзакция. Атаката се свежда до замяна на последователност (sequence) с представление или външна таблица, която определя изпълнявания SQL код, в момента на стартиране на pg_dump, когато информацията за наличието на последователността вече е получена, но данните все още не са изведени. За блокиране на уязвимостта е добавена настройка „restrict_nonsystem_relation_kind“, която забранява разкриването на не системни представления и достъпа до външни таблици в pg_dump.
Източник: opennet.ru
