PostgreSQL恣意代码执行误差清静通告

宣布时间 2019-03-27

误差编号和级别


CVE编号：CVE-2019-9193，，，，，，，危险级别：高危，，，，，，， CVSS分值：官方未评定


影响规模


受影响版本： 

PostgreSQL >=9.3


误差概述


克日，，，，，，，清静研究职员披露了PostgreSQL提权代码执行误差的误差细节，，，，，，，具有数据库效劳端文件读权限的攻击者使用此误差，，，，，，，可执行恣意系统下令。。。

PostgreSQL是一款功效强盛的数据库软件，，，，，，，可运行在所有主流操作系统上，，，，，，，包括Linux、Windows、Mac OS X等。。。此次披露的误差保存于导入导出数据的下令“COPY TO/FROM PROGRAM”中，，，，，，，“pg_read_server_files”组内用户执行上述下令后，，，，，，，可获取数据库超等用户权限，，，，，，，从而执行恣意系统下令。。。


修复建议


现在官方修复此误差的妄想。。。pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色涉及到读写数据库效劳端文件，，，，，，，权限较大，，，，，，，分派此角色权限给数据库用户时需审慎思量。。。


参考链接


http://paper.tuisec.win/detail/66d2b3ec28c7239