Des mises à jour correctives ont été formées pour toutes les branches prises en charge de PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17 et 12.21, corrigeant 35 bugs et éliminant 3 vulnérabilités - une dangereuse et deux non dangereuses. Il a également été annoncé que le support de la branche PostgreSQL 12 était arrêté, et qu'aucune mise à jour ne sera plus réalisée pour celle-ci.
Une vulnérabilité dangereuse (CVE-2024-10979) ayant un niveau de gravité de 8,8 sur 10 permet à un utilisateur local de la base de données, disposant des droits pour créer des fonctions PL/Perl, d'exécuter du code avec les droits de l'utilisateur sous lequel fonctionne la base de données. La vulnérabilité est due au fait que dans les fonctions PL/Perl, il est possible de modifier les variables d'environnement du processus de travail, y compris la variable PATH, qui définit les chemins des fichiers exécutables, ainsi que les variables d'environnement spécifiques à PostgreSQL. Il est noté que pour mener l'attaque, un accès à la base de données suffit et aucune compte système n'est requis. CREATE OR REPLACE FUNCTION plperl_set_env_var() RETURNS void AS $$ $ENV{‘ENV_VAR’} = ‘testval’; $$ LANGUAGE plperl; SELECT plperl_set_env_var();
Source : opennet.ru
