PostgreSQL恣意代码执行误差清静通告

宣布时间 2019-03-27

误差编号和级别


CVE编号：CVE-2019-9193，，，危险级别：高危，，， CVSS分值：官方未评定


影响规模


受影响版本： 

PostgreSQL >=9.3


误差概述


克日，，，清静研究职员披露了PostgreSQL提权代码执行误差的误差细节，，，具有数据库效劳端文件读权限的攻击者使用此误差，，，可执行恣意系统下令。。。。

PostgreSQL是一款功效强盛的数据库软件，，，可运行在所有主流操作系统上，，，包括Linux、Windows、Mac OS X等。。。。此次披露的误差保存于导入导出数据的下令“COPY TO/FROM PROGRAM”中，，，“pg_read_server_files”组内用户执行上述下令后，，，可获取数据库超等用户权限，，，从而执行恣意系统下令。。。。


修复建议


现在官方修复此误差的妄想。。。。pg_read_server_files、pg_write_server_files、pg_execute_server_program 角色涉及到读写数据库效劳端文件，，，权限较大，，，分派此角色权限给数据库用户时需审慎思量。。。。


参考链接


http://paper.tuisec.win/detail/66d2b3ec28c7239