Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-05996

Опубликовано: 11 нояб. 2021
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
Canonical Ltd.
Novell Inc.
PostgreSQL Global Development Group
АО "НППКТ"
Postgres Professional
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Ubuntu
SUSE Linux Enterprise High Performance Computing
SUSE Linux Enterprise
PostgreSQL
ОСОН ОСнова Оnyx
Postgres Pro Certified
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
10 (Debian GNU/Linux)
15-LTSS (SUSE Linux Enterprise High Performance Computing)
20.04 LTS (Ubuntu)
21.04 (Ubuntu)
Server 15-LTSS (SUSE Linux Enterprise)
Server for SAP Applications 15 (SUSE Linux Enterprise)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
21.10 (Ubuntu)
до 14.1 (PostgreSQL)
до 13.5 (PostgreSQL)
до 12.9 (PostgreSQL)
до 11.14 (PostgreSQL)
до 10.19 (PostgreSQL)
до 9.6.24 (PostgreSQL)
до 2.5 (ОСОН ОСнова Оnyx)
до 11.15.1 (Postgres Pro Certified)
до 14.2.1 (Postgres Pro Certified)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 21.04
Novell Inc. SUSE Linux Enterprise Server 15-LTSS
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Canonical Ltd. Ubuntu 21.10
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для PostgreSQL:
https://www.postgresql.org/support/security/CVE-2021-23214/
Для Postgres Pro Certified:
https://postgrespro.ru/products/postgrespro/certified
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-23214
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-23214.html
Для Ubuntu:
https://ubuntu.com/security/CVE-2021-23214
Для ОСОН Основа:
Обновление программного обеспечения postgresql-11 до версии 11.15+repack1-1.pgdg100+1
Для ОС ОН «Стрелец»:
Обновление программного обеспечения postgresql-9.6 до версии 9.6.24+repack1-1.pgdg90+1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 52%
0.0029
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
больше 3 лет назад

When the server is configured to use trust authentication with a clientcert requirement or to use cert authentication, a man-in-the-middle attacker can inject arbitrary SQL queries when a connection is first established, despite the use of SSL certificate verification and encryption.

CVSS3: 8.1
redhat
больше 3 лет назад

When the server is configured to use trust authentication with a clientcert requirement or to use cert authentication, a man-in-the-middle attacker can inject arbitrary SQL queries when a connection is first established, despite the use of SSL certificate verification and encryption.

CVSS3: 8.1
nvd
больше 3 лет назад

When the server is configured to use trust authentication with a clientcert requirement or to use cert authentication, a man-in-the-middle attacker can inject arbitrary SQL queries when a connection is first established, despite the use of SSL certificate verification and encryption.

CVSS3: 8.1
msrc
больше 3 лет назад

Описание отсутствует

CVSS3: 8.1
debian
больше 3 лет назад

When the server is configured to use trust authentication with a clien ...

EPSS

Процентиль: 52%
0.0029
Низкий

8.1 High

CVSS3

7.6 High

CVSS2