СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
О проекте StartUp Hub Контакты Компании Рынки Реклама Политика ПДн Согласие ПДн Файлы cookie
Уязвимости
ФСТЭК России
11.08.2022

BDU:2022-04971 (CVE-2022-2625) — уязвимость системы управления базами данных PostgreSQL

По данным БДУ ФСТЭК России, по состоянию на 13.11.2023.

Высокий — 8.0/10 Устранена

Уязвимость системы управления базами данных PostgreSQL связана с ошибками при использовании команд OR расширениями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии и заменить произвольные объекты в базе данных

Кого касается и что делать

  • Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; Альт 8 СП (АО «ИВК»); PostgreSQL (PostgreSQL Global Development Group) — версии до 14.5, до 13.8, до 12.12, до 11.17, до 10.22, до 15 Beta 3; и ещё 2 позиции
  • Что делать: уязвимость устранена производителем — применить исправления: www.postgresql.org, wiki.astralinux.ru, wiki.astralinux.ru

Сведения об уязвимости

Идентификаторы BDU:2022-04971 · CVE-2022-2625
Уровень опасности Высокий (базовая оценка CVSS 3.1 — 8.0; CVSS 2.0 — 9.0)
Вектор CVSS 3.1 AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
атака по сети, низкая сложность, нужны права пользователя, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК Уязвимость системы управления базами данных PostgreSQL, связанная с ошибками при использовании команд OR расширениями, позволяющая нарушителю повысить свои привилегии и заменить произвольные объекты в базе данных
Даты Опубликована: 15.08.2022 · Обновлена ФСТЭК: 13.11.2023 · Выявлена: 11.08.2022
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-264 — разрешения, привилегии и средства управления доступом
Класс уязвимости Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
  • Альт 8 СП (АО «ИВК») — операционная система
  • PostgreSQL (PostgreSQL Global Development Group) — версии до 14.5, до 13.8, до 12.12, до 11.17, до 10.22, до 15 Beta 3 · СУБД, ПО для разработки ИИ
  • ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.6 · операционная система
  • Postgres Pro Certified (Postgres Professional) — версии до 11.17.1, до 14.5.1 · СУБД, ПО для разработки ИИ

Возможные меры по устранению уязвимости

Обновление.

  • Установка обновлений из доверенных источников.
  • В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— проверка расширений на возможность создания объектов в базе данных (убедитесь, что ни один из этих объектов не существует в вашей системе);
— отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
— использование входных данных только из доверенных источников.
Использование рекомендаций

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных