Описание
Уязвимость реализации мета-команды «gset» системы управления базами данных PostgreSQL связана с ошибками переключения контекста привилегий. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Вендор
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat, Inc.
ООО «Ред Софт»
PostgreSQL Global Development Group
АО «Концерн ВНИИНС»
АО «ИВК»
АО «НППКТ»
Postgres Professional
Наименование ПО
Debian GNU/Linux
Astra Linux Common Edition
Red Hat Enterprise Linux
РЕД ОС
Red Hat Software Collections
PostgreSQL
ОС ОН «Стрелец»
Альт 8 СП
ОСОН ОСнова Оnyx
Postgres Pro Certified
Версия ПО
9 (Debian GNU/Linux)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
7.2 Муром (РЕД ОС)
- (Red Hat Software Collections)
до 9.5.24 (PostgreSQL)
от 9.6.0 до 9.6.20 (PostgreSQL)
от 10.0 до 10.15 (PostgreSQL)
от 11.0 до 11.10 (PostgreSQL)
от 12.0 до 12.5 (PostgreSQL)
от 13.0 до 13.1 (PostgreSQL)
1.0 (ОС ОН «Стрелец»)
- (Альт 8 СП)
до 2.3 (ОСОН ОСнова Оnyx)
до 11.11.1 (Postgres Pro Certified)
до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО
Операционная система
Прикладное ПО информационных систем
СУБД
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat, Inc. Red Hat Enterprise Linux 8
ООО «Ред Софт» РЕД ОС 7.2 Муром
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для PostgreSQL:
https://www.postgresql.org/about/news/postgresql-131-125-1110-1015-9620-and-9524-released-2111/
Для Postgres Pro Certified:
https://postgrespro.ru/products/postgrespro/certified
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-25696
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2020/12/msg00005.html
Для Astra Linux:
Обновление программного обеспечения (пакета postgresql-9.6) до 9.6.20-0+deb9u1 или более поздней версии
При невозможности выполнить обновление в качестве обходного пути можно отключить autovacuum и не запускать вручную операции ANALYZE, CLUSTER, REINDEX, CREATE INDEX, VACUUM FULL и REFRESH MATERIALIZED VIEW, а также не выполнять восстановление БД на основе вывода команды pg_dump.
Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Для ОСОН Основа:
Обновление программного обеспечения postgresql-11 до версии 11.13+repack1-1.pgdg100+1+osnova2
Для ОС ОН «Стрелец»:
Обновление программного обеспечения postgresql-9.6 до версии 9.6.24+repack1-1.pgdg90+1
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 86%
0.02698
Низкий
8.1 High
CVSS3
7.6 High
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3316: package `postgresql12` update to version 12.5-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3315: package `postgresql11` update to version 11.10-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3314: package `postgresql10` update to version 10.15-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3313: package `postgresql9.6` update to version 9.6.20-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3312: package `postgresql9.5` update to version 9.5.24-alt1
EPSS
Процентиль: 86%
0.02698
Низкий
8.1 High
CVSS3
7.6 High
CVSS2