Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01231

Опубликовано: 30 июл. 2018
Источник: fstec
CVSS3: 7.5
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость функции PQescape() библиотеки libpq системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию с помощью SQL-инъекции

Вендор

ООО «РусБИТех-Астра»
PostgreSQL Global Development Group
Postgres Professional

Наименование ПО

Astra Linux Special Edition
PostgreSQL
Postgres Pro Certified

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
от 9.3.0 до 9.3.24 (PostgreSQL)
от 9.4.0 до 9.4.19 (PostgreSQL)
от 9.5.0 до 9.5.14 (PostgreSQL)
от 9.6.0 до 9.6.10 (PostgreSQL)
от 10.0 до 10.5 (PostgreSQL)
до 11.11.1 (Postgres Pro Certified)

Тип ПО

Операционная система
СУБД

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.postgresql.org/about/news/1878/
Для Postgres Pro Certified:
https://postgrespro.ru/products/postgrespro/certified
Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет postgresql-9.6 до 9.6.10-0+deb9u1.astra или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 81%
0.01557
Низкий

7.5 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.5
ubuntu
почти 7 лет назад

A vulnerability was found in libpq, the default PostgreSQL client library where libpq failed to properly reset its internal state between connections. If an affected version of libpq was used with "host" or "hostaddr" connection parameters from untrusted input, attackers could bypass client-side connection security features, obtain access to higher privileged connections or potentially cause other impact through SQL injection, by causing the PQescape() functions to malfunction. Postgresql versions before 10.5, 9.6.10, 9.5.14, 9.4.19, and 9.3.24 are affected.

CVSS3: 8.5
redhat
почти 7 лет назад

A vulnerability was found in libpq, the default PostgreSQL client library where libpq failed to properly reset its internal state between connections. If an affected version of libpq was used with "host" or "hostaddr" connection parameters from untrusted input, attackers could bypass client-side connection security features, obtain access to higher privileged connections or potentially cause other impact through SQL injection, by causing the PQescape() functions to malfunction. Postgresql versions before 10.5, 9.6.10, 9.5.14, 9.4.19, and 9.3.24 are affected.

CVSS3: 8.5
nvd
почти 7 лет назад

A vulnerability was found in libpq, the default PostgreSQL client library where libpq failed to properly reset its internal state between connections. If an affected version of libpq was used with "host" or "hostaddr" connection parameters from untrusted input, attackers could bypass client-side connection security features, obtain access to higher privileged connections or potentially cause other impact through SQL injection, by causing the PQescape() functions to malfunction. Postgresql versions before 10.5, 9.6.10, 9.5.14, 9.4.19, and 9.3.24 are affected.

CVSS3: 8.5
debian
почти 7 лет назад

A vulnerability was found in libpq, the default PostgreSQL client libr ...

suse-cvrf
больше 6 лет назад

Security update for postgresql94

EPSS

Процентиль: 81%
0.01557
Низкий

7.5 High

CVSS3

8.5 High

CVSS2