СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
09.05.2024
#Dev#ИБ#Инфра

BDU:2024-03569 (CVE-2024-4317) — уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs СУБД PostgreSQL

По данным БДУ ФСТЭК России, по состоянию на 21.03.2025.

Низкий — 3.1/10 Устранена

Уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs СУБД PostgreSQL связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии

Кого касается и что делать

  • Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; РОСА Кобальт (АО «НТЦ ИТ РОСА») — версии 7.9; АЛЬТ СП 10 (АО «ИВК»); и ещё 7 позиций
  • Что делать: уязвимость устранена производителем — применить исправления: git.postgresql.org, git.postgresql.org, git.postgresql.org

Сведения об уязвимости

Идентификаторы BDU:2024-03569 · CVE-2024-4317
Уровень опасности Низкий (базовая оценка CVSS 3.1 — 3.1; CVSS 2.0 — 2.1)
Вектор CVSS 3.1 AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
атака по сети, высокая сложность, нужны права пользователя, без участия пользователя, ограниченное влияние на конфиденциальность
Наименование ФСТЭК Уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs СУБД PostgreSQL, позволяющая нарушителю повысить свои привилегии
Даты Опубликована: 13.05.2024 · Обновлена ФСТЭК: 21.03.2025 · Выявлена: 09.05.2024
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-264 — разрешения, привилегии и средства управления доступом; CWE-862 — отсутствие авторизации
Класс уязвимости Уязвимость кода · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

  • РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
  • РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
  • АЛЬТ СП 10 (АО «ИВК») — операционная система
  • PostgreSQL (PostgreSQL Global Development Group) — версии от 16 до 16.3, от 15 до 15.7, от 14 до 14.12 · СУБД, ПО для разработки ИИ
  • Postgres Pro Certified (Postgres Professional) — версии от 14 до 14.12.1, от 15 до 15.7.1, от 16 до 16.3.1 · СУБД, ПО для разработки ИИ
  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.8 · операционная система
  • Platform V Pangolin SE (АО «СберТех») — до 6.2.1 · СУБД
  • СУБД «Tantor» (ООО «Тантор Лабс») — 15 · СУБД
  • ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства
  • ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.12 · операционная система

ОС и платформы

  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.7
  • Альт 8 СП (АО «ИВК»)
  • Альт Сервер 9 (АО «ИВК»)
  • Альт Сервер 10 (АО «ИВК»)

Возможные меры по устранению уязвимости

Обновление.

  • Установка обновлений из доверенных источников.
  • В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

1. Ограничение данных в представлениях pg_stats_ext, pg_stats_ext_exprs владельцами таблиц или ролями, которые наследуют привилегии владельца таблицы.
2. Использование средств межсетевого экранирования для ограничения возможности удалённого доступа к СУБД.
3. Использование виртуальных частных сетей для организации удаленного доступа (VPN).
4. Скачать SQL-скрипт, соответствующий вашей версии PostgreSQL:
PostgreSQL 16: git.postgresql.org/gitweb/
PostgreSQL 15: git.postgresql.org/gitweb/
PostgreSQL 14: git.postgresql.org/gitweb/
Запустить скрипт в каждой базе данных кластера PostgreSQL от имени суперпользователя:
\i /usr/share/postgresql/fix-CVE-2024-4317.sql
Временно разрешить подключения к базам template0 и template1 командой:
ALTER DATABASE template0 WITH ALLOW_CONNECTIONS true;
ALTER DATABASE template1 WITH ALLOW_CONNECTIONS true;
После запуска скрипта в template0 и template1, отозвать разрешение на подключения командой:
ALTER DATABASE template0 WITH ALLOW_CONNECTIONS false;
ALTER DATABASE template1 WITH ALLOW_CONNECTIONS false;
Убедитесь, что скрипт был запущен в базах template0 и template1.
Использование рекомендаций производителя

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных