BDU:2019-04098 (CVE-2017-15098)

Уязвимость реализации функций json_populate_recordset и jsonb_populate_recordset системы управления базами данных PostgreSQL, позволяющая нарушителю вызвать отказ в обслуживании или получить несанкционированный доступ к защищаемой информации

Опубликовано: 2019-11-19

Описание

Уязвимость реализации функций json_populate_recordset и jsonb_populate_recordset системы управления базами данных PostgreSQL связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)PostgreSQL (от 10.0 до 10.1)PostgreSQL (от 9.6.0 до 9.6.6)PostgreSQL (от 9.5.0 до 9.5.10)PostgreSQL (от 9.4.0 до 9.4.15)PostgreSQL (от 9.3.0 до 9.3.20)

Способ устранения

Использование рекомендаций:
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для PostgreSQL:
https://www.postgresql.org/about/news/1801/
https://www.postgresql.org/support/security/

Для Debian GNU/Linux:
https://www.debian.org/security/2017/dsa-4027
https://www.debian.org/security/2017/dsa-4028

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2017-15098 https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734 https://www.postgresql.org/about/news/1801/https://www.postgresql.org/support/security/https://www.debian.org/security/2017/dsa-4027 https://www.debian.org/security/2017/dsa-4028

Проверьте безопасность своего сайта и почты → Полная проверка домена