Corrigerende updates zijn opgesteld voor alle ondersteunde versies van PostgreSQL 16.4, 15.8, 14.13, 13.16, 12.20, waarin 56 fouten zijn verholpen die de afgelopen drie maanden zijn ontdekt. Onder andere is in de nieuwe versies een kwetsbaarheid (CVE-2024-7348) verholpen, gemarkeerd als gevaarlijk (gevaarniveau 8.8 van 10). De kwetsbaarheid wordt veroorzaakt door een raceconditie in de pg_dump-tool, waarmee een aanvaller, die de mogelijkheid heeft om permanente objecten in de database te maken en te verwijderen, onrechtmatig SQL-code kan uitvoeren met de rechten van de gebruiker waaronder pg_dump wordt uitgevoerd (gewoonlijk wordt pg_dump met supergebruikersrechten uitgevoerd voor het maken van een databaseback-up).
Voor een succesvolle aanval is het nodig om het moment van uitvoering van de pg_dump-tool te volgen, wat eenvoudig kan worden gerealiseerd door te manipuleren met een open transactie. De aanval draait om het vervangen van de sequentie door een weergave of externe tabel die de uit te voeren SQL-code definieert, op het moment dat pg_dump wordt uitgevoerd, wanneer de informatie over het bestaan van de sequentie al is verkregen, maar de gegevens nog niet zijn opgehaald. Om de kwetsbaarheid te blokkeren, is er een instelling ārestrict_nonsystem_relation_kindā toegevoegd, die de onthulling van niet-systematische weergaven en toegang tot externe tabellen in pg_dump verbiedt.
Bron: opennet.ru
