PostgreSQL मधील भेद्यता जी कार्यकर्ता प्रक्रिया विशेषाधिकारांसह कोड कार्यान्वित करण्यास अनुमती देते

PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17 आणि 12.21 च्या सर्व समर्थित शाखांसाठी सुधारात्मक अद्यतने व्युत्पन्न केली गेली आहेत, ज्यामध्ये 35 त्रुटी निश्चित केल्या आहेत आणि 3 भेद्यता दूर केल्या आहेत - एक धोकादायक आणि दोन गैर-धोकादायक. PostgreSQL 12 शाखेसाठी समर्थन बंद केले जाईल, ज्यासाठी अद्यतने यापुढे व्युत्पन्न केली जाणार नाहीत, अशी घोषणाही करण्यात आली.

एक धोकादायक भेद्यता (CVE-2024-10979), ज्याला 8.8 पैकी 10 ची तीव्रता पातळी नियुक्त केली आहे, स्थानिक DBMS वापरकर्त्याला PL/Perl फंक्शन्स तयार करण्याचे अधिकार असलेल्या वापरकर्त्याच्या अधिकारांसह कोड कार्यान्वित करण्याची परवानगी देते ज्या अंतर्गत DBMS आहे. धावणे PL/Perl फंक्शन्समध्ये वर्कफ्लो एन्व्हायर्नमेंट व्हेरिएबल्समध्ये बदल करण्याच्या क्षमतेमुळे भेद्यता उद्भवते, ज्यामध्ये PATH व्हेरिएबलचा समावेश आहे जे एक्झिक्यूटेबल फाइल्स आणि PostgreSQL-विशिष्ट पर्यावरण व्हेरिएबल्सचे मार्ग निर्दिष्ट करते. हे लक्षात घेतले आहे की हल्ला करण्यासाठी, डीबीएमएसमध्ये प्रवेश करणे पुरेसे आहे आणि सिस्टममध्ये खाते आवश्यक नाही. फंक्शन तयार करा किंवा बदला plperl_set_env_var() RETURNS void AS $$ $ENV{'ENV_VAR'} = 'testval'; $$ LANGUAGE plperl; निवडा plperl_set_env_var();

स्त्रोत: opennet.ru