BDU:2019-04232 (CVE-2018-1053)

Уязвимость реализации команды «pg_upgrade» системы управления базами данных PostgreSQL, позволяющая нарушителю получить доступ к произвольным файлам

Опубликовано: 2019-11-25

Описание

Уязвимость реализации команды «pg_upgrade» системы управления базами данных PostgreSQL связана с ошибками при создании временных файлов в текущем рабочем каталоге. Эксплуатация уязвимости может позволить нарушителю получить доступ к произвольным файлам

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Ubuntu (17.10)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (7)PostgreSQL (от 9.3.0 до 9.3.21)PostgreSQL (от 9.4.0 до 9.4.16)PostgreSQL (от 9.5.0 до 9.5.11)PostgreSQL (от 9.6.0 до 9.6.7)PostgreSQL (10.0)PostgreSQL (10.1)CloudForms Management Engine (5.9)

Способ устранения

Использование рекомендаций:
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для PostgreSQL:
https://www.postgresql.org/about/news/1829/

Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2018/02/msg00006.html

Для программных продутов Red Hat Inc.:
https://access.redhat.com/errata/RHSA-2018:2566
https://access.redhat.com/errata/RHSA-2018:3816
https://access.redhat.com/errata/RHSA-2018:2511

Для Ubuntu:
https://usn.ubuntu.com/3564-1/

Оценка CVSS

Балл	6 — высокая опасность

Источники и патчи

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734 https://www.postgresql.org/about/news/1829/https://lists.debian.org/debian-lts-announce/2018/02/msg00006.html https://access.redhat.com/errata/RHSA-2018:2566 https://access.redhat.com/errata/RHSA-2018:3816 https://access.redhat.com/errata/RHSA-2018:2511 https://usn.ubuntu.com/3564-1/http://www.securityfocus.com/bid/102986

Проверьте безопасность своего сайта и почты → Полная проверка домена