BDU:2022-04971

Опубликовано: 11 авг. 2022

Источник: fstec

CVSS3: 8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость системы управления базами данных PostgreSQL связана с ошибками при использовании команд OR расширениями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии и заменить произвольные объекты в базе данных

Вендор

ООО «РусБИТех-Астра»

АО «ИВК»

PostgreSQL Global Development Group

АО "НППКТ"

Postgres Professional

Наименование ПО

Astra Linux Special Edition

Альт 8 СП

PostgreSQL

ОСОН ОСнова Оnyx

Postgres Pro Certified

Версия ПО

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

до 14.5 (PostgreSQL)

до 13.8 (PostgreSQL)

до 12.12 (PostgreSQL)

до 11.17 (PostgreSQL)

до 10.22 (PostgreSQL)

до 15 Beta 3 (PostgreSQL)

4.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

до 11.17.1 (Postgres Pro Certified)

до 14.5.1 (Postgres Pro Certified)

Тип ПО

Операционная система

СУБД

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- проверка расширений на возможность создания объектов в базе данных (убедитесь, что ни один из этих объектов не существует в вашей системе);

- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;

- использование входных данных только из доверенных источников.

Использование рекомендаций:

Для PostgreSQL:

https://www.postgresql.org/about/news/postgresql-145-138-1212-1117-1022-and-15-beta-3-released-2496/

Для Astra Linux Special Edition 1.7 архитектуры x86-64:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1011SE17MD

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения postgresql-11 до версии 11.17+repack1-1.pgdg100+1

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для Postgres Pro Certified:

https://postgrespro.ru/products/postgrespro/certified

Для ОС Astra Linux Special Edition 1.7:

обновить пакет postgresql-11 до 1:11.21-astra.se6+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-2625
CVE

EPSS

Процентиль: 71%

0.00705

Низкий

8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

ROS-20221013-06

CVSS3: 8

redos

больше 2 лет назад

Обход ограничений в PostgreSQL13

ROS-20221013-05

CVSS3: 8

redos

больше 2 лет назад

Обход ограничений в PostgreSQL

ROS-20221013-04

CVSS3: 8

redos

больше 2 лет назад

Обход ограничений в PostgreSQL14

ROS-20221013-03

CVSS3: 8

redos

больше 2 лет назад

Обход ограничений в PostgreSQL1C

CVE-2022-2625

CVSS3: 8

ubuntu

почти 3 года назад

A vulnerability was found in PostgreSQL. This attack requires permission to create non-temporary objects in at least one schema, the ability to lure or wait for an administrator to create or update an affected extension in that schema, and the ability to lure or wait for a victim to use the object targeted in CREATE OR REPLACE or CREATE IF NOT EXISTS. Given all three prerequisites, this flaw allows an attacker to run arbitrary code as the victim role, which may be a superuser.

EPSS

Процентиль: 71%

0.00705

Низкий

8 High

CVSS3

9 Critical

CVSS2