Описание
Уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs СУБД PostgreSQL связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии
Вендор
ООО «Ред Софт»
АО «НТЦ ИТ РОСА»
АО «ИВК»
PostgreSQL Global Development Group
Postgres Professional
ООО «РусБИТех-Астра»
АО «СберТех»
ООО «Тантор Лабс»
АО «НППКТ»
Наименование ПО
РЕД ОС
РОСА Кобальт
АЛЬТ СП 10
PostgreSQL
Postgres Pro Certified
Astra Linux Special Edition
Platform V Pangolin SE
СУБД «Tantor»
ROSA Virtualization 3.0
ОСОН ОСнова Оnyx
Версия ПО
7.3 (РЕД ОС)
7.9 (РОСА Кобальт)
- (АЛЬТ СП 10)
от 16 до 16.3 (PostgreSQL)
от 15 до 15.7 (PostgreSQL)
от 14 до 14.12 (PostgreSQL)
от 14 до 14.12.1 (Postgres Pro Certified)
от 15 до 15.7.1 (Postgres Pro Certified)
от 16 до 16.3.1 (Postgres Pro Certified)
1.8 (Astra Linux Special Edition)
до 6.2.1 (Platform V Pangolin SE)
15 (СУБД «Tantor»)
3.0 (ROSA Virtualization 3.0)
до 2.12 (ОСОН ОСнова Оnyx)
Тип ПО
Операционная система
СУБД
ПО виртуализации/ПО виртуального программно-аппаратного средства
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9
АО «ИВК» АЛЬТ СП 10 -
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «ИВК» Альт Сервер 9 -
АО «ИВК» Альт Сервер 10 -
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
АО «НППКТ» ОСОН ОСнова Оnyx до 2.12
Уровень опасности уязвимости
Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,1)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,1)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
1. Ограничение данных в представлениях pg_stats_ext, pg_stats_ext_exprs владельцами таблиц или ролями, которые наследуют привилегии владельца таблицы.
2. Использование средств межсетевого экранирования для ограничения возможности удалённого доступа к СУБД.
3. Использование виртуальных частных сетей для организации удаленного доступа (VPN).
4. Скачать SQL-скрипт, соответствующий вашей версии PostgreSQL:
PostgreSQL 16: https://git.postgresql.org/gitweb/?p=postgresql.git;a=blob;f=src/backend/catalog/fix-CVE-2024-4317.sql;hb=refs/heads/REL_16_STABLE
PostgreSQL 15: https://git.postgresql.org/gitweb/?p=postgresql.git;a=blob;f=src/backend/catalog/fix-CVE-2024-4317.sql;hb=refs/heads/REL_15_STABLE
PostgreSQL 14: https://git.postgresql.org/gitweb/?p=postgresql.git;a=blob;f=src/backend/catalog/fix-CVE-2024-4317.sql;hb=refs/heads/REL_14_STABLE
Запустить скрипт в каждой базе данных кластера PostgreSQL от имени суперпользователя:
\i /usr/share/postgresql/fix-CVE-2024-4317.sql
Временно разрешить подключения к базам template0 и template1 командой:
ALTER DATABASE template0 WITH ALLOW_CONNECTIONS true;
ALTER DATABASE template1 WITH ALLOW_CONNECTIONS true;
После запуска скрипта в template0 и template1, отозвать разрешение на подключения командой:
ALTER DATABASE template0 WITH ALLOW_CONNECTIONS false;
ALTER DATABASE template1 WITH ALLOW_CONNECTIONS false;
Убедитесь, что скрипт был запущен в базах template0 и template1.
Использование рекомендаций производителя:
Для PostgreSQL:
https://www.postgresql.org/support/security/CVE-2024-4317/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Postgres Pro Certified:
https://postgrespro.ru/products/postgrespro/certified
Для АО «Сбербанк-Технологии»:
Обновление Platform V Pangolin SE до версии 6.2.1 и выше
Для ОС Astra Linux:
обновить пакет postgresql-15 до 15.10-astra.se1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для СУБД «Tantor»:
обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10, предоставляемого в личном кабинете пользователя https://lk-new.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2485
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2486
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2743
Обновление программного обеспечения postgresql-15 до версии 15.10~repack1-0+deb12u1.osnova1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 54%
0.00728
Низкий
3.1 Low
CVSS3
2.1 Low
CVSS2
EPSS
Процентиль: 54%
0.00728
Низкий
3.1 Low
CVSS3
2.1 Low
CVSS2