Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2015-3167

Опубликовано: 20 нояб. 2019
Источник: nvd
CVSS3: 7.5
CVSS2: 5
EPSS Низкий

Уязвимость упрощения подбора ключа методом перебора в PostgreSQL из-за различий в ошибках при некорректном ключе

Описание

В компоненте contrib/pgcrypto в PostgreSQL существует уязвимость, связанная с различиями в сообщениях об ошибках при использовании некорректного ключа. Это упрощает злоумышленнику возможность подбора ключа методом перебора.

Затронутые версии ПО

  • PostgreSQL до версии 9.0.20
  • PostgreSQL версии 9.1.x до 9.1.16
  • PostgreSQL версии 9.2.x до 9.2.11
  • PostgreSQL версии 9.3.x до 9.3.7
  • PostgreSQL версии 9.4.x до 9.4.2

Тип уязвимости

  • Подмена
  • Метод перебора (brute force attack)

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия до 9.0.20 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.1 (включая) до 9.1.16 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.2 (включая) до 9.2.11 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.3 (включая) до 9.3.7 (исключая)
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
Версия от 9.4 (включая) до 9.4.2 (исключая)
Конфигурация 2

Одно из

cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
Конфигурация 3

Одно из

cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:lts:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:14.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:15.04:*:*:*:*:*:*:*

EPSS

Процентиль: 86%
0.02851
Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-200

Связанные уязвимости

ubuntu логотип

CVE-2015-3167

CVSS3: 7.5
ubuntu
больше 5 лет назад

contrib/pgcrypto in PostgreSQL before 9.0.20, 9.1.x before 9.1.16, 9.2.x before 9.2.11, 9.3.x before 9.3.7, and 9.4.x before 9.4.2 uses different error responses when an incorrect key is used, which makes it easier for attackers to obtain the key via a brute force attack.

redhat логотип

CVE-2015-3167

redhat
около 10 лет назад

contrib/pgcrypto in PostgreSQL before 9.0.20, 9.1.x before 9.1.16, 9.2.x before 9.2.11, 9.3.x before 9.3.7, and 9.4.x before 9.4.2 uses different error responses when an incorrect key is used, which makes it easier for attackers to obtain the key via a brute force attack.

debian логотип

CVE-2015-3167

CVSS3: 7.5
debian
больше 5 лет назад

contrib/pgcrypto in PostgreSQL before 9.0.20, 9.1.x before 9.1.16, 9.2 ...

github логотип

GHSA-xj65-3378-xxg3

CVSS3: 7.5
github
около 3 лет назад

contrib/pgcrypto in PostgreSQL before 9.0.20, 9.1.x before 9.1.16, 9.2.x before 9.2.11, 9.3.x before 9.3.7, and 9.4.x before 9.4.2 uses different error responses when an incorrect key is used, which makes it easier for attackers to obtain the key via a brute force attack.

suse-cvrf логотип

SUSE-SU-2015:1264-1

suse-cvrf
почти 10 лет назад

Security update for postgresql93

EPSS

Процентиль: 86%
0.02851
Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-200