PostgreSQL肆意代码执行缝隙安全公告

颁布功夫 2019-03-27

缝隙编号和级别


CVE编号：CVE-2019-9193， ，，，，， ，危险级别：高危， ，，，，， ， CVSS分值：官方未评定


影响领域


受影响版本： 

PostgreSQL >=9.3


缝隙概述


近日， ，，，，， ，安全钻研人员披露了PostgreSQL提权代码执行缝隙的缝隙细节， ，，，，， ，具罕见据库服务端文件读权限的攻击者利用此缝隙， ，，，，， ，可执行肆意系统号令。。。。。。

PostgreSQL是一款职能壮大的数据库软件， ，，，，， ，可运行在所有主流操作系统上， ，，，，， ，蕴含Linux、Windows、Mac OS X等。。。。。。这次披露的缝隙存在于导入导出数据的号令“COPY TO/FROM PROGRAM”中， ，，，，， ，“pg_read_server_files”组内用户执行上述号令后， ，，，，， ，可获取数据库超等用户权限， ，，，，， ，从而执行肆意系统号令。。。。。。


建复建议


目前官方建复此缝隙的打算。。。。。。pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色涉及到读写数据库服务端文件， ，，，，， ，权限较大， ，，，，， ，分配此角色权限给数据库用户时需审慎思考。。。。。。


参考链接


http://paper.tuisec.win/detail/66d2b3ec28c7239