Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-04879

Опубликовано: 18 мая 2021
Источник: fstec
CVSS3: 6.7
CVSS2: 7.2
EPSS Низкий

Описание

Уязвимость высокоэффективной системы логической репликации pglogical связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
PostgreSQL Global Development Group

Наименование ПО

Debian GNU/Linux
Pglogical

Версия ПО

9 (Debian GNU/Linux)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
до 2.3.4 (Pglogical)
от 3.0.0 до 3.6.26 (Pglogical)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,7)

Возможные меры по устранению уязвимости

Для Pglogical:
Использование рекомендаций производителя: https://bugzilla.redhat.com/show_bug.cgi?id=1954112
Для Debian:
Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-3515

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 32%
0.00124
Низкий

6.7 Medium

CVSS3

7.2 High

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2021-3515

CVSS3: 6.7
ubuntu
больше 4 лет назад

A shell injection flaw was found in pglogical in versions before 2.3.4 and before 3.6.26. An attacker with CREATEDB privileges on a PostgreSQL server can craft a database name that allows execution of shell commands as the postgresql user when calling pglogical.create_subscription().

redhat логотип

CVE-2021-3515

CVSS3: 7.5
redhat
больше 4 лет назад

A shell injection flaw was found in pglogical in versions before 2.3.4 and before 3.6.26. An attacker with CREATEDB privileges on a PostgreSQL server can craft a database name that allows execution of shell commands as the postgresql user when calling pglogical.create_subscription().

nvd логотип

CVE-2021-3515

CVSS3: 6.7
nvd
больше 4 лет назад

A shell injection flaw was found in pglogical in versions before 2.3.4 and before 3.6.26. An attacker with CREATEDB privileges on a PostgreSQL server can craft a database name that allows execution of shell commands as the postgresql user when calling pglogical.create_subscription().

debian логотип

CVE-2021-3515

CVSS3: 6.7
debian
больше 4 лет назад

A shell injection flaw was found in pglogical in versions before 2.3.4 ...

github логотип

GHSA-pg8h-w6r7-prw8

CVSS3: 6.7
github
больше 3 лет назад

A shell injection flaw was found in pglogical in versions before 2.3.4 and before 3.6.26. An attacker with CREATEDB privileges on a PostgreSQL server can craft a database name that allows execution of shell commands as the postgresql user when calling pglogical.create_subscription().

EPSS

Процентиль: 32%
0.00124
Низкий

6.7 Medium

CVSS3

7.2 High

CVSS2