Vulnérabilités dans PostgreSQL

Date de publication :

De multiples vulnérabilités ont été découvertes dans PostgreSQL. Elles peuvent permettre à un attaquant de provoquer une exécution de code arbitraire à distance.

CVE-2020-14349 [Score CVSS v3 : 7.1] : PostgreSQL n'utilise pas la paramètre search_path de manière sûre dans son script d'installation. Cette vulnérabilité est causée par un assainissement incorrect du search_path lors de la réplication logique de tables ou de données. Un attaquant distant et disposant de privilèges suffisants pourrait utiliser cette faille pour tromper un administrateur et l'amener à exécuter un script SQL spécialement conçu, lors de l'installation ou de la mise à jour de cette extension.

CVE-2020-14350 [Score CVSS v3 : 7.3] : Une vulnérabilité a été découverte dans PostgreSQL.  Lorsqu’un super utilisateur exécute certaines fonctions “CREATE EXTENSION”, un attaquant peut exécuter des fonctions SQL arbitraires avec l’identité de ce super utilisateur. Pour cela, l’attaquant doit avoir les droits afin de créer des objets. 

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire à distance

Criticité

    Score CVSS v3 : 7.1 ; 7.3

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible

Composants vulnérables

    PostgreSQL versions 12.x antérieures à 12.4

    PostgreSQL versions 11.x antérieures à 11.9

    PostgreSQL versions 10.x antérieures à 10.14

    PostgreSQL versions 9.6.x antérieures à 9.6.19

    PostgreSQL versions 9.5.x antérieures à 9.5.23

CVE

    CVE-2020-14349

    CVE-2020-14350

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour PostgreSQL vers une version non vulnérable (voir partie Composants vulnérables)

Solution de contournement

  • Aucune solution de contournement

Liens