BDU:2024-01869

Опубликовано: 07 мар. 2024

Источник: fstec

CVSS3: 7.1

CVSS2: 7.1

EPSS Высокий

Описание

Уязвимость файла cookie-сеанса (pga4_session) инструмента управления базами данных pgAdmin 4 связана с некорректной сериализацией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

ООО «Ред Софт»

PostgreSQL Community Association of Canada

Наименование ПО

РЕД ОС

pgAdmin 4

Версия ПО

7.3 (РЕД ОС)

до 8.4 (pgAdmin 4)

Тип ПО

Операционная система

СУБД

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование pgAdmin в режиме рабочего стола для предотвращения возможности эксплуатации уязвимости;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://github.com/pgadmin-org/pgadmin4/issues/7258

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-2044
CVE

EPSS

Процентиль: 99%

0.77906

Высокий

7.1 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

ROS-20240904-13

CVSS3: 7.1

redos

10 месяцев назад

Уязвимость pgadmin4

CVE-2024-2044

CVSS3: 9.9

nvd

больше 1 года назад

pgAdmin <= 8.3 is affected by a path-traversal vulnerability while deserializing users’ sessions in the session handling code. If the server is running on Windows, an unauthenticated attacker can load and deserialize remote pickle objects and gain code execution. If the server is running on POSIX/Linux, an authenticated attacker can upload pickle objects, deserialize them, and gain code execution.

CVE-2024-2044

CVSS3: 9.9

debian

больше 1 года назад

pgAdmin <= 8.3 is affected by a path-traversal vulnerability while des ...

SUSE-SU-2024:1340-1

suse-cvrf

около 1 года назад

Security update for pgadmin4

GHSA-rj98-crf4-g69w

CVSS3: 9.9

github

больше 1 года назад

pgAdmin 4 vulnerable to Unsafe Deserialization and Remote Code Execution by an Authenticated user

EPSS

Процентиль: 99%

0.77906

Высокий

7.1 High

CVSS3

7.1 High

CVSS2