Correctieve updates zijn opgesteld voor alle ondersteunde versies van PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17 en 12.21, waarin 35 fouten zijn verholpen en 3 kwetsbaarheden zijn geƫlimineerd - ƩƩn kwetsbaarheid is ernstig en twee zijn niet ernstig. Ook is aangekondigd dat de ondersteuning voor versie PostgreSQL 12 stopt, waarvoor geen verdere updates meer zullen worden gemaakt.
De ernstige kwetsbaarheid (CVE-2024-10979), die een zwaarte van 8.8 uit 10 heeft gekregen, stelt een lokale gebruiker van de database met rechten voor het aanmaken van PL/Perl-functies in staat om code uit te voeren met de rechten van de gebruiker waaronder de database draait. De kwetsbaarheid is ontstaan omdat in PL/Perl-functies omgevingsvariabelen van het werkproces kunnen worden gewijzigd, inclusief de PATH-variabele, die paden naar uitvoerbare bestanden definieert, en specifieke omgevingsvariabelen voor PostgreSQL. Het is vermeldenswaardig dat voor een aanval toegang tot de database voldoende is en er geen systeemaccount vereist is. CREATE OR REPLACE FUNCTION plperl_set_env_var() RETURNS void AS $$ $ENV{āENV_VARā} = ātestvalā; $$ LANGUAGE plperl; SELECT plperl_set_env_var();
Bron: opennet.ru
