PostgreSQL恣意代码执行误差清静通告

宣布时间 2019-03-27

误差编号和级别


CVE编号：CVE-2019-9193 ，危险级别：高危 ， CVSS分值：官方未评定


影响规模


受影响版本： 

PostgreSQL >=9.3


误差概述


克日 ，清静研究职员披露了PostgreSQL提权代码执行误差的误差细节 ，具有数据库服务端文件读权限的攻击者使用此误差 ，可执行恣意系统下令。

PostgreSQL是一款功效强盛的数据库软件 ，可运行在所有主流操作系统上 ，包括Linux、Windows、Mac OS X等。此次披露的误差保存于导入导出数据的下令“COPY TO/FROM PROGRAM”中 ，“pg_read_server_files”组内用户执行上述下令后 ，可获取数据库超等用户权限 ，从而执行恣意系统下令。


修复建议


现在官方修复此误差的妄想。pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色涉及到读写数据库服务端文件 ，权限较大 ，分派此角色权限给数据库用户时需审慎思量。


参考链接


http://paper.tuisec.win/detail/66d2b3ec28c7239