BDU:2023-00613

Опубликовано: 17 июн. 2020

Источник: fstec

CVSS3: 7.5

CVSS2: 7.1

EPSS Низкий

Описание

Уязвимость системы управления базами данных PostgreSQL связана с неконтролируемым элементом пути поиска при обработке параметра search_path. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии и выполнить произвольные команды

Вендор

Canonical Ltd.

Red Hat, Inc.

Novell Inc.

PostgreSQL Global Development Group

АО «ИВК»

АО «НППКТ»

Postgres Professional

Наименование ПО

Ubuntu

Red Hat Virtualization

Red Hat Enterprise Linux

OpenSUSE Leap

Red Hat Software Collections

PostgreSQL

Альт 8 СП

ОСОН ОСнова Оnyx

Postgres Pro Certified

Версия ПО

18.04 LTS (Ubuntu)

4 (Red Hat Virtualization)

8 (Red Hat Enterprise Linux)

15.1 (OpenSUSE Leap)

- (Red Hat Software Collections)

8.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)

20.04 LTS (Ubuntu)

15.2 (OpenSUSE Leap)

8.1 Extended Update Support (Red Hat Enterprise Linux)

8.2 Extended Update Support (Red Hat Enterprise Linux)

от 10.0 до 10.14 (PostgreSQL)

от 11.0 до 11.9 (PostgreSQL)

от 12.0 до 12.4 (PostgreSQL)

- (Альт 8 СП)

до 2.3 (ОСОН ОСнова Оnyx)

до 11.11.1 (Postgres Pro Certified)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

Прикладное ПО информационных систем

СУБД

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat, Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.1

Red Hat, Inc. Red Hat Enterprise Linux 8.0 Update Services for SAP Solutions

Canonical Ltd. Ubuntu 20.04 LTS

Novell Inc. OpenSUSE Leap 15.2

Red Hat, Inc. Red Hat Enterprise Linux 8.1 Extended Update Support

Red Hat, Inc. Red Hat Enterprise Linux 8.2 Extended Update Support

АО «ИВК» Альт 8 СП -

АО «НППКТ» ОСОН ОСнова Оnyx до 2.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для PostgreSQL:

https://git.postgresql.org/gitweb/?p=postgresql.git;a=commitdiff;h=cec57b1a0fbcd3833086ba686897c5883e0a2afc

https://www.postgresql.org/support/security/CVE-2020-14349/

Для Postgres Pro Certified:

https://postgrespro.ru/products/postgrespro/certified

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4472-1

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/RVKTSYB6VOWNCXMN2C6CHUQBVHCRICIH/

https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/KCFAAI7HQKWBFPQVB7SCZVKD3NQX2N52/

https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/25COAMDPKIB3AWDKP6IEG35QG2IFIZ7W/

https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/JBQ6CL4MQALOVA7GHHQK6R3AD3MXSR5R/

https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/6NJOWPOFFUYUXLYYWXZGSLK4YBDYXAES/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения postgresql-11 до версии 11.13+repack1-1.pgdg100+1+osnova2

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-14349
CVE

EPSS

Процентиль: 83%

0.02235

Низкий

7.5 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

ALT-PU-2020-2540

CVSS3: 7.5

altlinux

около 6 лет назад

ALT-PU-2020-2540: package `postgresql11` update to version 11.9-alt1

ALT-PU-2020-2539

CVSS3: 7.5

altlinux

около 6 лет назад

ALT-PU-2020-2539: package `postgresql11-1C` update to version 11.9-alt1

ALT-PU-2020-2538

CVSS3: 7.5

altlinux

около 6 лет назад

ALT-PU-2020-2538: package `postgresql10` update to version 10.14-alt1

ALT-PU-2020-2535

CVSS3: 7.5

altlinux

около 6 лет назад

ALT-PU-2020-2535: package `postgresql12` update to version 12.4-alt1

CVE-2020-14349

CVSS3: 7.1

ubuntu

около 6 лет назад

It was found that PostgreSQL versions before 12.4, before 11.9 and before 10.14 did not properly sanitize the search_path during logical replication. An authenticated attacker could use this flaw in an attack similar to CVE-2018-1058, in order to execute arbitrary SQL command in the context of the user used for replication.

EPSS

Процентиль: 83%

0.02235

Низкий

7.5 High

CVSS3

7.1 High

CVSS2