Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2015-0244

Опубликовано: 27 янв. 2020
Источник: nvd
CVSS3: 9.8
CVSS2: 7.5
EPSS Низкий

Уязвимость некорректной обработки ошибок при чтении протокольных сообщений в PostgreSQL, что позволяет проводить SQL-инъекции

Описание

PostgreSQL до версии 9.0.19, 9.1.x до 9.1.15, 9.2.x до 9.2.10, 9.3.x до 9.3.6 и 9.4.x до 9.4.1 некорректно обрабатывает ошибки при чтении протокольных сообщений. Это позволяет злоумышленникам проводить SQL-инъекции с помощью специально созданных двоичных данных в параметре. В результате возникает ошибка, что приводит к потере синхронизации и часть протокольного сообщения обрабатывается как новое сообщение, что может продемонстрироваться путём вызова таймаута или отмены запроса.

Затронутые версии ПО

  • PostgreSQL до 9.0.19
  • PostgreSQL 9.1.x до 9.1.15
  • PostgreSQL 9.2.x до 9.2.10
  • PostgreSQL 9.3.x до 9.3.6
  • PostgreSQL 9.4.x до 9.4.1

Тип уязвимости

Удалённое выполнение кода (SQL-инъекция)

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия до 9.0.19 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.1.0 (включая) до 9.1.15 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.2.0 (включая) до 9.2.10 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.3.0 (включая) до 9.3.6 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.4.0 (включая) до 9.4.1 (исключая)
Конфигурация 2

Одно из

cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*

EPSS

Процентиль: 77%
0.01071
Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-89

Связанные уязвимости

ubuntu логотип

CVE-2015-0244

CVSS3: 9.8
ubuntu
больше 5 лет назад

PostgreSQL before 9.0.19, 9.1.x before 9.1.15, 9.2.x before 9.2.10, 9.3.x before 9.3.6, and 9.4.x before 9.4.1 does not properly handle errors while reading a protocol message, which allows remote attackers to conduct SQL injection attacks via crafted binary data in a parameter and causing an error, which triggers the loss of synchronization and part of the protocol message to be treated as a new message, as demonstrated by causing a timeout or query cancellation.

redhat логотип

CVE-2015-0244

redhat
больше 10 лет назад

PostgreSQL before 9.0.19, 9.1.x before 9.1.15, 9.2.x before 9.2.10, 9.3.x before 9.3.6, and 9.4.x before 9.4.1 does not properly handle errors while reading a protocol message, which allows remote attackers to conduct SQL injection attacks via crafted binary data in a parameter and causing an error, which triggers the loss of synchronization and part of the protocol message to be treated as a new message, as demonstrated by causing a timeout or query cancellation.

debian логотип

CVE-2015-0244

CVSS3: 9.8
debian
больше 5 лет назад

PostgreSQL before 9.0.19, 9.1.x before 9.1.15, 9.2.x before 9.2.10, 9. ...

github логотип

GHSA-xvhg-pwg9-qp4r

CVSS3: 9.8
github
около 3 лет назад

PostgreSQL before 9.0.19, 9.1.x before 9.1.15, 9.2.x before 9.2.10, 9.3.x before 9.3.6, and 9.4.x before 9.4.1 does not properly handle errors while reading a protocol message, which allows remote attackers to conduct SQL injection attacks via crafted binary data in a parameter and causing an error, which triggers the loss of synchronization and part of the protocol message to be treated as a new message, as demonstrated by causing a timeout or query cancellation.

suse-cvrf логотип

SUSE-SU-2015:0639-1

suse-cvrf
больше 10 лет назад

Security update for postgresql91

EPSS

Процентиль: 77%
0.01071
Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-89