BDU:2024-06153 (CVE-2024-7348) — уязвимость утилиты pg_dump системы управления базами данных PostgreSQL

По данным БДУ ФСТЭК России, по состоянию на 06.11.2025.

Высокий — 8.8/10 Устранена

Уязвимость утилиты pg_dump системы управления базами данных PostgreSQL связана с разыменованием нулевого указателя из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольный SQL-код от имени пользователя, запускающего pg_dump и при условии сохранения нарушителем открытой транзакции

Кого касается и что делать

Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8; Альт 8 СП (АО «ИВК»); и ещё 10 позиций
Что делать: уязвимость устранена производителем — применить исправления: postgrespro.ru, www.postgresql.org, repo.red-soft.ru

Сведения об уязвимости

Идентификаторы	BDU:2024-06153 · CVE-2024-7348
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость утилиты pg_dump системы управления базами данных PostgreSQL, позволяющая нарушителю выполнять произвольный SQL-код
Даты	Опубликована: 12.08.2024 · Обновлена ФСТЭК: 06.11.2025 · Выявлена: 08.08.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-367 — ситуация гонки Time-of-check Time-of-use (TOCTOU)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование сроками и состоянием

Уязвимое ПО

РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8 · операционная система
Альт 8 СП (АО «ИВК») — операционная система
РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
АЛЬТ СП 10 (АО «ИВК») — операционная система
PostgreSQL (PostgreSQL Global Development Group) — версии от 16 до 16.4, от 15 до 15.8, от 14 до 14.13, от 13 до 13.16, от 12 до 12.20 · СУБД, ПО для разработки ИИ
Postgres Pro Certified (Postgres Professional) — версии до 16.4, до 15.8, до 14.13, до 13.16, до 12.20 · СУБД, ПО для разработки ИИ
Platform V Pangolin SE (АО «СберТех») — до 6.2.1 · СУБД
СУБД «Tantor» (ООО «Тантор Лабс») — 15 · СУБД
ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.12 · операционная система

ОС и платформы

Альт Сервер 9 (АО «ИВК»)
Альт Сервер 10 (АО «ИВК»)

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— минимизация пользовательских привилегий;
— отключение/удаление неиспользуемых учётных записей пользователей;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа к программному продукту;
— использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
postgrespro.ru/products/postgrespro/certified
www.postgresql.org/support/security/CVE-2024-7348/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для АО «Сбербанк-Технологии»: Обновление Platform V Pangolin SE до версии 6.2.1 и выше
Для ОС Astra Linux: обновить пакет postgresql-15 до 15.10-astra.se1 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для СУБД «Tantor»: обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10, предоставляемого в личном кабинете пользователя lk-new.astralinux.ru/ (wiki.astralinux.ru/x/ziLoD); Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2024-2501
Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2025-2589; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-2743; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-2742; Обновление программного обеспечения postgresql-15 до версии 15.10~repack1-0+deb12u1.osnova1
Для ОС Astra Linux: обновить пакет postgresql-11 до 1:11.22-astra.se5.1+ci3 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux: обновить пакет postgresql-11 до 1:11.22-astra.se5.4 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47
Для ОС РОСА "КОБАЛЬТ": abf.rosa.ru/advisories/ROSA-SA-2025-2788; abf.rosa.ru/advisories/ROSA-SA-2025-3037

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: