Описание
Уязвимость компонента client системы управления базами данных PostgreSQL связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, реализовать атаку типа «человек посередине»
Вендор
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat, Inc.
ООО «Ред Софт»
PostgreSQL Global Development Group
АО «Концерн ВНИИНС»
АО «ИВК»
IBM Corp.
АО «НППКТ»
Postgres Professional
Наименование ПО
Debian GNU/Linux
Astra Linux Common Edition
Red Hat Enterprise Linux
РЕД ОС
Red Hat Software Collections
PostgreSQL
ОС ОН «Стрелец»
Альт 8 СП
IBM Security Access Manager
ОСОН ОСнова Оnyx
Postgres Pro Certified
Версия ПО
9 (Debian GNU/Linux)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
7.2 Муром (РЕД ОС)
- (Red Hat Software Collections)
до 9.5.24 (PostgreSQL)
от 9.6.0 до 9.6.20 (PostgreSQL)
от 10.0 до 10.15 (PostgreSQL)
от 11.0 до 11.10 (PostgreSQL)
от 12.0 до 12.5 (PostgreSQL)
от 13.0 до 13.1 (PostgreSQL)
1.0 (ОС ОН «Стрелец»)
- (Альт 8 СП)
до 9.0.7.2-ISS-ISAM-IF0003 (IBM Security Access Manager)
до 2.3 (ОСОН ОСнова Оnyx)
до 11.11.1 (Postgres Pro Certified)
до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО
Операционная система
Прикладное ПО информационных систем
СУБД
Программное средство защиты
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat, Inc. Red Hat Enterprise Linux 8
ООО «Ред Софт» РЕД ОС 7.2 Муром
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для PostgreSQL:
https://www.postgresql.org/support/security/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-25694
Для Postgres Pro Certified:
https://postgrespro.ru/products/postgrespro/certified
Для Astra Linux:
Обновление программного обеспечения (пакета postgresql-9.6) до 9.6.20-0+deb9u1 или более поздней версии
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2020/12/msg00005.html
Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6502211
При невозможности выполнить обновление в качестве обходного пути можно отключить autovacuum и не запускать вручную операции ANALYZE, CLUSTER, REINDEX, CREATE INDEX, VACUUM FULL и REFRESH MATERIALIZED VIEW, а также не выполнять восстановление БД на основе вывода команды pg_dump.
Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Для ОСОН Основа:
Обновление программного обеспечения postgresql-11 до версии 11.13+repack1-1.pgdg100+1+osnova2
Для ОС ОН «Стрелец»:
Обновление программного обеспечения postgresql-9.6 до версии 9.6.24+repack1-1.pgdg90+1
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 76%
0.01593
Низкий
9.8 Critical
CVSS3
9.3 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3316: package `postgresql12` update to version 12.5-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3315: package `postgresql11` update to version 11.10-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3314: package `postgresql10` update to version 10.15-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3313: package `postgresql9.6` update to version 9.6.20-alt1
CVSS3: 9.8
altlinux
почти 6 лет назад
ALT-PU-2020-3312: package `postgresql9.5` update to version 9.5.24-alt1
EPSS
Процентиль: 76%
0.01593
Низкий
9.8 Critical
CVSS3
9.3 Critical
CVSS2