Разработчики популярной открытой СУБД PostgreSQL на этой неделе выпустили обновления для всех основных веток своего продукта, устранив в разработке несколько уязвимостей, включая и критически опасную уязвимость, которая могла привести к аварийному завершению PostgreSQL и утечке данных. По данным разработчиков, атака могла быть осуществлена в тот момент, когда на сервере выполняется ряд условий, способствующих исполнению хакерского кода. В описании сказано, что уязвимость зафиксирована только в серверах PostgreSQL версии 9.0 и более поздних, тогда как PostgreSQL 8.х ей не подвержены. Для того, чтобы спровоцировать уязвимость CVE-2013-1899, на сервер СУБД необходимо отправить специальный код, запрашивающий соединение и начинающийся с символа "-". Атаковать можно как локальный, так и удаленный сервер PostgreSQL (если последний принимает внешние запросы на соединения). В зависимости от того, как именно сконфигурирован сервер, запрос может привести к эскалации привилегий, утечке данных или аварийному завершению. В ряде случаев атака может быть произведена даже пользователем, у которого нет локальной записи на сервере, для атаки ему лишь необходимо точно знать название целевой БД. Ситуацию с сервером ухудшало то, что не на всех серверах Postgres стоит в режиме авторестарта после краха, а если такая функция и работает, атакующий может повторять атаку. Также разработчики предупредили, что атаке подвержены серверы СУБД, работающие в облачной среде и поддерживающие только ограниченные наборы сетевых соединений. В целом, разработчики выпустили обновления для серверов PostgreSQL 9.0.13, 9.1.9 и 9.2.4, в которых была ликвидирована указанная проблема. Данный проблемный элемент кода также был заменен и в Postgres 8.4, хотя сценарий атаки для версий 9.x не работает под восьмую ветку СУБД. В дополнение к указанной проблеме были устранены и несколько прочих багов, такие как CVE-2013-1900 и CVE-2013-1901, позволяющие перехватывать случайные последовательности криптофункций, генерируемые программами contrib/pgcrypto, и перехватывать команды, передаваемые во время автоматизированного создания архивных копий. Обновленные версии доступны бесплатно на сайте postgresql.com
Источник