PostgreSQL恣意代码执行误差清静通告

宣布时间 2019-03-27

误差编号和级别


CVE编号：CVE-2019-9193，危险级别：高危， CVSS分值：官方未评定


影响规模


受影响版本： 

PostgreSQL >=9.3


误差概述


克日，清静研究职员披露了PostgreSQL提权代码执行误差的误差细节，具有数据库服务端文件读权限的攻击者使用此误差，可执行恣意系统下令。

PostgreSQL是一款功效强盛的数据库软件，可运行在所有主流操作系统上，包括Linux、Windows、Mac OS X等。此次披露的误差保存于导入导出数据的下令“COPY TO/FROM PROGRAM”中，“pg_read_server_files”组内用户执行上述下令后，可获取数据库超等用户权限，从而执行恣意系统下令。


修复建议


现在官方修复此误差的妄想。pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色涉及到读写数据库服务端文件，权限较大，分派此角色权限给数据库用户时需审慎思量。


参考链接


http://paper.tuisec.win/detail/66d2b3ec28c7239