Уязвимость отсутствия принудительного установления SSL/TLS-соединения в PostgreSQL через переменную окружения PGREQUIRESSL
Описание
В PostgreSQL обнаружена уязвимость, связанная с переменной окружения PGREQUIRESSL, которая перестала обеспечивать обязательное использование SSL/TLS-соединения с сервером PostgreSQL. Злоумышленник, выполняющий атаку типа "человек посередине" (man-in-the-middle), способен использовать эту уязвимость для снятия SSL/TLS-защиты с соединения между клиентом и сервером.
Затронутые версии ПО
- PostgreSQL 9.3.x до версии 9.3.17
- PostgreSQL 9.4.x до версии 9.4.12
- PostgreSQL 9.5.x до версии 9.5.7
- PostgreSQL 9.6.x до версии 9.6.3
Тип уязвимости
Уязвимость SSL-защиты из-за ошибки в обработке переменной
Ссылки
- Third Party AdvisoryVDB Entry
- Vendor Advisory
- Third Party AdvisoryVDB Entry
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
5.9 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
In PostgreSQL 9.3.x before 9.3.17, 9.4.x before 9.4.12, 9.5.x before 9.5.7, and 9.6.x before 9.6.3, it was found that the PGREQUIRESSL environment variable was no longer enforcing a SSL/TLS connection to a PostgreSQL server. An active Man-in-the-Middle attacker could use this flaw to strip the SSL/TLS protection from a connection between a client and a server.
In PostgreSQL 9.3.x before 9.3.17, 9.4.x before 9.4.12, 9.5.x before 9.5.7, and 9.6.x before 9.6.3, it was found that the PGREQUIRESSL environment variable was no longer enforcing a SSL/TLS connection to a PostgreSQL server. An active Man-in-the-Middle attacker could use this flaw to strip the SSL/TLS protection from a connection between a client and a server.
In PostgreSQL 9.3.x before 9.3.17, 9.4.x before 9.4.12, 9.5.x before 9 ...
In PostgreSQL 9.3.x before 9.3.17, 9.4.x before 9.4.12, 9.5.x before 9.5.7, and 9.6.x before 9.6.3, it was found that the PGREQUIRESSL environment variable was no longer enforcing a SSL/TLS connection to a PostgreSQL server. An active Man-in-the-Middle attacker could use this flaw to strip the SSL/TLS protection from a connection between a client and a server.
Уязвимость библиотеки libpq системы управления базами данных PostgreSQL, позволяющая нарушителю реализовать атаку типа «человек посередине»
EPSS
5.9 Medium
CVSS3
4.3 Medium
CVSS2