Boli vytvorené opravné aktualizácie pre všetky podporované verzie PostgreSQL 16.4, 15.8, 14.13, 13.16, 12.20, v ktorých bolo opravených 56 chýb identifikovaných za posledné tri mesiace. Medzi iným, v nových verziách bola odstránená zraniteľnosť (CVE-2024-7348), označená ako kritická (úroveň nebezpečnosti 8.8 z 10). Zraniteľnosť je spôsobená pretekajúcim stavom v utilite pg_dump, ktorý útočníkovi, majúcemu právo vytvárať a mazať trvalé objekty v DBMS, umožňuje vykonanie náhodného SQL kódu s právami používateľa, pod ktorými je utilita pg_dump spustená (zvyčajne je pg_dump spustená s právami superužívateľa na zálohovanie DBMS).
Na úspešný útok je potrebné sledovať moment spustenia utilitky pg_dump, čo sa dá jednoducho realizovať prostredníctvom manipulácií s otvorenou transakciou. Útok spočíva v nahradení sekvencie (sequence) pohľadom alebo vonkajšou tabuľkou, definujúcou spustený SQL kód, v momente spustenia pg_dump, keď už sú informácie o existencii sekvencie získané, ale údaje ešte neboli zobrazené. Na zablokovanie zraniteľnosti bola pridaná konfigurácia „restrict_nonsystem_relation_kind“, ktorá zakazuje odhalenie nesystémových pohľadov a prístup k vonkajším tabuľkám v pg_dump.
Zdroj: opennet.ru
