Korrigerende opdateringer er blevet udgivet for alle understøttede versioner af PostgreSQL 16.4, 15.8, 14.13, 13.16, 12.20, hvor 56 fejl, der er opdaget i de seneste tre måneder, er blevet rettet. Blandt andet er der i de nye versioner rettet en sårbarhed (CVE-2024-7348), som er klassificeret som høj risiko (risikoniveau 8.8 ud af 10). Sårbarheden skyldes en race-condition i værktøjet pg_dump, hvilket gør det muligt for en angriber, der har mulighed for at oprette og slette permanente objekter i databasen, at udføre vilkårlig SQL-kode med de samme rettigheder som brugeren, der kører pg_dump (normalt køres pg_dump med superbrugerrettigheder for at tage backup af databasen).
For at gennemføre et succesfuldt angreb kræves det at spore det præcise tidspunkt, hvor værktøjet pg_dump køres, hvilket nemt kan opnås gennem manipulation af en åben transaktion. Angrebet drejer sig om at erstatte sekvensen med en visning eller en ekstern tabel, der definerer den SQL-kode, der skal køres, på det tidspunkt, hvor pg_dump startes, når oplysningerne om sekvensens eksistens allerede er indhentet, men dataene endnu ikke er blevet udskrevet. For at blokkere sårbarheden er der tilføjet en indstilling "restrict_nonsystem_relation_kind", der forhindrer afsløring af ikke-systematiske visninger og adgang til eksterne tabeller i pg_dump.
Kilde: opennet.ru
