BDU:2022-07190 (CVE-2022-41946)

Уязвимость реализации методов PreparedStatement.setText() или PreparedStatement.setBytea() драйвера JDBC (PgJDBC) для подключения Java-программ к базе данных PostgreSQL, позволяющая нарушителю раскрыть защищаемую информацию

Опубликовано: 2022-12-09

Описание

Уязвимость реализации методов PreparedStatement.setText() или PreparedStatement.setBytea() драйвера JDBC (PgJDBC) для подключения Java-программ к базе данных PostgreSQL связана с небезопасными временными файлами. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)РЕД ОС (7.3)pgjdbc (до 42.2.27)pgjdbc (до 42.3.8)pgjdbc (до 42.4.3)pgjdbc (до 42.5.1)ОСОН ОСнова Оnyx (до 2.7)

Способ устранения

Использование рекомендаций:

Для драйвера JDBC (PgJDBC):
https://github.com/pgjdbc/pgjdbc/security/advisories/GHSA-562r-vg33-8x8h

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-41946

Для ОСОН ОСнова Оnyx (версия 2.7):
Обновление программного обеспечения libpgjava до версии 42.2.5-2+deb10u3

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	4.6 — средняя опасность

Источники и патчи

https://github.com/pgjdbc/pgjdbc/security/advisories/GHSA-562r-vg33-8x8h https://github.com/pgjdbc/pgjdbc/commit/9008dc9aade6dbfe4efafcd6872ebc55f4699cf5 https://www.cybersecurity-help.cz/vdb/SB2022112335 https://lists.debian.org/debian-lts-announce/2022/12/msg00003.html https://security-tracker.debian.org/tracker/CVE-2022-41946 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.7/http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена