CVE-2015-5288

Опубликовано: 26 окт. 2015

Источник: nvd

CVSS2: 6.4

EPSS Низкий

Уязвимость DoS атаки и чтения произвольной памяти сервера через функцию crypt в PostgreSQL с использованием "слишком короткой" соли (salt)

Описание

В функции crypt в модуле contrib/pgcrypto PostgreSQL злоумышленник способен вызвать DoS атаку (аварийное завершение работы сервера) или прочитать произвольную память сервера, применив "слишком короткую" соль (salt).

Затронутые версии ПО

PostgreSQL до версии 9.0.23
PostgreSQL 9.1.x до версии 9.1.19
PostgreSQL 9.2.x до версии 9.2.14
PostgreSQL 9.3.x до версии 9.3.10
PostgreSQL 9.4.x до версии 9.4.5

Тип уязвимости

DoS атака
Чтение произвольной памяти сервера

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*

Версия до 9.0.22 (включая)

cpe:2.3:a:postgresql:postgresql:9.1:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.1:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.2:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.3:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.4:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.5:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.6:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.7:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.8:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.9:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.10:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.11:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.12:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.13:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.14:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.15:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.16:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.17:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.1.18:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.1:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.2:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.3:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.4:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.5:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.6:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.7:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.8:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.9:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.10:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.11:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.12:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.2.13:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.1:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.2:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.3:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.4:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.5:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.6:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.7:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.8:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.3.9:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.4.0:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.4.1:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.4.2:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.4.3:*:*:*:*:*:*:*

cpe:2.3:a:postgresql:postgresql:9.4.4:*:*:*:*:*:*:*

EPSS

Процентиль: 87%

0.0333

Низкий

6.4 Medium

CVSS2

Дефекты

CWE-200

Связанные уязвимости

CVE-2015-5288

ubuntu

больше 9 лет назад

The crypt function in contrib/pgcrypto in PostgreSQL before 9.0.23, 9.1.x before 9.1.19, 9.2.x before 9.2.14, 9.3.x before 9.3.10, and 9.4.x before 9.4.5 allows attackers to cause a denial of service (server crash) or read arbitrary server memory via a "too-short" salt.