The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Разработчики PostgreSQL опровергли наличие уязвимости в COPY..PROGRAM

05.04.2019 08:21

В ответ на появление в СМИ спекуляций, основанных на отчёте об уязвимости CVE-2019-9193, разработчики PostgreSQL опубликовали опровержение. CVE-2019-9193 преподносится некоторыми аналитиками как критическая удалённо эксплуатируемая проблема, позволяющая в конфигурации по умолчанию через манипуляции с конструкцией "COPY TO/FROM PROGRAM" выполнить произвольный код с правами пользователя, под которым запущена СУБД. Данные заявления не соответствуют действительности, описанная проблема надумана и CVE-2019-9193 на деле не является уязвимостью. Идентификатор уязвимости CVE-2019-9193 выдан по недосмотру.

Конструкция "COPY TO/FROM PROGRAM" является штатной функциональностью, которая доступна только пользователю с правами администратора (superuser) или при явном делегировании полномочия "pg_execute_server_program". Вопреки заявлениям в публикациях, предоставляемые по умолчанию права pg_read_server_files и pg_write_server_files не дают полномочий для выполнения конструкции "COPY..PROGRAM". Обычные пользователи СУБД не имеют возможности запуска обработчиков при помощи "COPY TO/FROM PROGRAM", а администратору нет смысла взламывать собственное окружение, в котором выполняется СУБД и к которому уже имеется полный доступ (администратор СУБД имеет полномочия пользователя под которым выполняется PostgreSQL).

  1. Главная ссылка к новости (https://www.postgresql.org/abo...)
  2. OpenNews: Microsoft поглотил компанию Citus, развивающую СУБД на базе PostgreSQL
  3. OpenNews: Релиз СУБД PostgreSQL 11
  4. OpenNews: Для PostgreSQL подготовлено расширение TopN
  5. OpenNews: Атака по майнингу криптовалюты на незащищённых серверах PostgreSQL
Лицензия: CC-BY
Тип: К сведению
Ключевые слова: postgresql
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (19) Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, Аноним (1), 08:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    FUD?
     
     
  • 2.5, Аноним (5), 10:02, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Oracle?
     
     
  • 3.10, Аноним (10), 10:22, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Oracle, Percona и другие клоноделы записнушки-переростка.
     
  • 1.2, trolleybus (?), 09:39, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    > CVE-2019-9193
    > Published Date: 04/01/2019

    Это точно была не первоапрельская шутка?

     
  • 1.3, Аноним (3), 09:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >"COPY TO/FROM PROGRAM" является штатной функциональностью,

    Очень жду когда SQL базы научатся прожигать CD-R диски.
    Такая дыра в функциональности!

     
     
  • 2.4, Аноним (4), 10:01, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +8 +/
    Про зияющие дыры в безопасности забыли. Любой хакер, повязав вооруженную охрану на входе и сломав замок в серверную монтировкой, может зайти с правами администратора с консоли сервера и зная пароль рута СУБД и сделать с ней, что захочет!
     
     
  • 3.6, 1 (??), 10:06, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Ты как в 20 веке - "в серверную" ...
    Как ты в цоде найдёшь нужное тебе лезвие ?
     
     
  • 4.8, доктор Хаус (?), 10:15, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    притащу за патлы одмина с паяльником в анусе - не только покажет, но и сам всё сделает
     
     
  • 5.12, Аноним (3), 11:45, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +3 +/
    >притащу за патлы одмина

    А ты его найдешь в пригороде Джайпура?

     
  • 3.7, Аноним (3), 10:15, 05/04/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >Про зияющие дыры в безопасности забыли. Любой хакер, повязав вооруженную охрану на входе и сломав замок в серверную монтировкой, может зайти с правами администратора с консоли сервера и зная пароль рута СУБД и сделать с ней, что захочет!

    Или вставив кавычку" в поле поиска на вебсайте.

     
  • 1.9, Аноним (10), 10:21, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это кто-то ситуацию с мысклем на PG отзеркалил?
     
  • 1.11, Аноним (11), 10:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Данные заявления не соответствуют действительности, описанная проблема надумана и CVE-2019-9193 на деле не является уязвимостью. Идентификатор уязвимости CVE-2019-9193 выдан по недосмотру.

    Все что нужно знать о CVE.

     
     
  • 2.15, Аноним (15), 08:38, 07/04/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Это вы ещё не видели китайцев, несколько месяцев назад зарегистрировавших серию CVE для "уязвимостей" в... gcc и binutils!
     
  • 1.13, fi2fi (?), 12:04, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    проблема в общем в том чтоб настроить права в Pg, да в любой другой СУБД,  семь потов сойдет - и есть желания просто дать superuser и не париться. ))))

     
  • 1.14, KonstantinB (ok), 22:08, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ждем CVE на CREATE EXTENSION.
     
  • 1.16, лютый жабист__ (?), 09:11, 08/04/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Кто-то ещё пользуется поцгресом?
     
     
  • 2.17, KonstantinB (ok), 05:30, 10/04/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Да, разумеется. А какие варианты-то еще, кроме мыскля?
     
     
  • 3.18, лютый жабист__ (?), 07:37, 10/04/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Да, разумеется. А какие варианты-то еще, кроме мыскля?

    Тяжело жить на планете с двумя СУБД. А у нас всё хорошо с этим.

     
     
  • 4.19, KonstantinB (ok), 19:27, 10/04/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Опенсорсных, реляционных и достаточно широко распространенных - да, две. А у вас что?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    MIRhosting
    Fornex
    Hosting by Ihor
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2019 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру