Критическая уязвимость, обозначенная как CVE-2024-7348, появилась в PostgreSQL, позволяя злоумышленникам выполнять произвольные SQL-функции. Эта уязвимость, особенно опасная при эксплуатации через утилиту pg_dump, представляет собой значительную угрозу безопасности, особенно в сценариях, связанных с доступом суперпользователя.
Детали уязвимости CVE-2024-7348
Корень проблемы заключается в состоянии гонки «Время проверки — Время использования» (TOCTOU) в процессе pg_dump. Злоумышленник может манипулировать системой для выполнения произвольных SQL-функций, заменяя другой тип отношения на представление или внешнюю таблицу. Эксплуатация уязвимости зависит от точного времени, так как она должна совпадать с инициацией pg_dump. Однако, если злоумышленник поддерживает открытую транзакцию, он может легко получить преимущество в этом состоянии гонки.
Затронутые версии
Уязвимость затрагивает несколько версий PostgreSQL, выпущенных до 16.4, 15.8, 14.13, 13.16 и 12.20. Для устранения этой критической проблемы проект PostgreSQL выпустил патчи 8 августа 2024 года. Пользователям настоятельно рекомендуется обновить свои системы до этих исправленных версий для снижения потенциальных рисков.
| Затронутая версия | Исправлено в | Дата публикации исправления |
|---|---|---|
| 16 | 16.4 | 8 авг. 2024 |
| 15 | 15.8 | 8 авг. 2024 |
| 14 | 14.13 | 8 авг. 2024 |
| 13 | 13.16 | 8 авг. 2024 |
| 12 | 12.20 | 8 авг. 2024 |
Оценка безопасности
Этой уязвимости присвоен общий балл CVSS 3.0 равный 8.8, что указывает на высокий уровень серьезности. Основной серверный компонент значительно затронут, а вектор классифицирован как AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Эта классификация подчеркивает потенциальные значительные воздействия на конфиденциальность, целостность и доступность.
Проект PostgreSQL выражает благодарность Ноа Мишу за сообщение об этой проблеме. Пользователи, которые сталкиваются с новыми уязвимостями безопасности, поощряются обращаться к команде безопасности PostgreSQL. Для ошибок, не связанных с безопасностью, пользователи должны обратиться к странице «Сообщить об ошибке». Этот инцидент служит напоминанием о критической важности своевременных обновлений и бдительных практик безопасности для защиты конфиденциальных данных и поддержания целостности системы.