Vulnérabilités dans PostgreSQL
Date de publication :
De multiples vulnérabilités ont été découvertes dans PostgreSQL. Elles peuvent permettre à un attaquant de provoquer une exécution de code arbitraire à distance.
CVE-2020-14349 [Score CVSS v3 : 7.1] : PostgreSQL n'utilise pas la paramètre search_path de manière sûre dans son script d'installation. Cette vulnérabilité est causée par un assainissement incorrect du search_path lors de la réplication logique de tables ou de données. Un attaquant distant et disposant de privilèges suffisants pourrait utiliser cette faille pour tromper un administrateur et l'amener à exécuter un script SQL spécialement conçu, lors de l'installation ou de la mise à jour de cette extension.
CVE-2020-14350 [Score CVSS v3 : 7.3] : Une vulnérabilité a été découverte dans PostgreSQL. Lorsqu’un super utilisateur exécute certaines fonctions “CREATE EXTENSION”, un attaquant peut exécuter des fonctions SQL arbitraires avec l’identité de ce super utilisateur. Pour cela, l’attaquant doit avoir les droits afin de créer des objets.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Exécution de code arbitraire à distance
Criticité
- Score CVSS v3 : 7.1 ; 7.3
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible
Composants vulnérables
- PostgreSQL versions 12.x antérieures à 12.4
- PostgreSQL versions 11.x antérieures à 11.9
- PostgreSQL versions 10.x antérieures à 10.14
- PostgreSQL versions 9.6.x antérieures à 9.6.19
- PostgreSQL versions 9.5.x antérieures à 9.5.23
CVE
- CVE-2020-14349
- CVE-2020-14350
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour PostgreSQL vers une version non vulnérable (voir partie Composants vulnérables)
Solution de contournement
Aucune solution de contournement