Разработчики PostgreSQL опровергли наличие уязвимости в COPY..PROGRAM

05.04.2019 08:21

В ответ на появление в СМИ спекуляций, основанных на отчёте об уязвимости CVE-2019-9193, разработчики PostgreSQL опубликовали опровержение. CVE-2019-9193 преподносится некоторыми аналитиками как критическая удалённо эксплуатируемая проблема, позволяющая в конфигурации по умолчанию через манипуляции с конструкцией "COPY TO/FROM PROGRAM" выполнить произвольный код с правами пользователя, под которым запущена СУБД. Данные заявления не соответствуют действительности, описанная проблема надумана и CVE-2019-9193 на деле не является уязвимостью. Идентификатор уязвимости CVE-2019-9193 выдан по недосмотру.

Конструкция "COPY TO/FROM PROGRAM" является штатной функциональностью, которая доступна только пользователю с правами администратора (superuser) или при явном делегировании полномочия "pg_execute_server_program". Вопреки заявлениям в публикациях, предоставляемые по умолчанию права pg_read_server_files и pg_write_server_files не дают полномочий для выполнения конструкции "COPY..PROGRAM". Обычные пользователи СУБД не имеют возможности запуска обработчиков при помощи "COPY TO/FROM PROGRAM", а администратору нет смысла взламывать собственное окружение, в котором выполняется СУБД и к которому уже имеется полный доступ (администратор СУБД имеет полномочия пользователя под которым выполняется PostgreSQL).

исправить +17 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/50461-postgresql

Ключевые слова: postgresql

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (19)

1.1, Аноним (1), 08:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+2 +/–
FUD?

2.5, Аноним (5), 10:02, 05/04/2019 [^] [^^] [^^^] [ответить]	+3 +/–
Oracle?

3.10, Аноним (10), 10:22, 05/04/2019 [^] [^^] [^^^] [ответить]	+1 +/–
Oracle, Percona и другие клоноделы записнушки-переростка.

1.2, trolleybus (?), 09:39, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+4 +/–
> CVE-2019-9193 > Published Date: 04/01/2019 Это точно была не первоапрельская шутка?

1.3, Аноним (3), 09:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+/–
>"COPY TO/FROM PROGRAM" является штатной функциональностью, Очень жду когда SQL базы научатся прожигать CD-R диски. Такая дыра в функциональности!

2.4, Аноним (4), 10:01, 05/04/2019 [^] [^^] [^^^] [ответить]	+8 +/–
Про зияющие дыры в безопасности забыли. Любой хакер, повязав вооруженную охрану на входе и сломав замок в серверную монтировкой, может зайти с правами администратора с консоли сервера и зная пароль рута СУБД и сделать с ней, что захочет!

3.6, 1 (??), 10:06, 05/04/2019 [^] [^^] [^^^] [ответить]	+4 +/–
Ты как в 20 веке - "в серверную" ... Как ты в цоде найдёшь нужное тебе лезвие ?

4.8, доктор Хаус (?), 10:15, 05/04/2019 [^] [^^] [^^^] [ответить]	+2 +/–
притащу за патлы одмина с паяльником в анусе - не только покажет, но и сам всё сделает

5.12, Аноним (3), 11:45, 05/04/2019 [^] [^^] [^^^] [ответить]	+3 +/–
>притащу за патлы одмина А ты его найдешь в пригороде Джайпура?

3.7, Аноним (3), 10:15, 05/04/2019 [^] [^^] [^^^] [ответить]	+/–
>Про зияющие дыры в безопасности забыли. Любой хакер, повязав вооруженную охрану на входе и сломав замок в серверную монтировкой, может зайти с правами администратора с консоли сервера и зная пароль рута СУБД и сделать с ней, что захочет! Или вставив кавычку" в поле поиска на вебсайте.

1.9, Аноним (10), 10:21, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Это кто-то ситуацию с мысклем на PG отзеркалил?

1.11, Аноним (11), 10:47, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+/–
> Данные заявления не соответствуют действительности, описанная проблема надумана и CVE-2019-9193 на деле не является уязвимостью. Идентификатор уязвимости CVE-2019-9193 выдан по недосмотру. Все что нужно знать о CVE.

2.15, Аноним (15), 08:38, 07/04/2019 [^] [^^] [^^^] [ответить]	+/–
Это вы ещё не видели китайцев, несколько месяцев назад зарегистрировавших серию CVE для "уязвимостей" в... gcc и binutils!

1.13, fi2fi (?), 12:04, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	–3 +/–
проблема в общем в том чтоб настроить права в Pg, да в любой другой СУБД, семь потов сойдет - и есть желания просто дать superuser и не париться. ))))

1.14, KonstantinB (ok), 22:08, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Ждем CVE на CREATE EXTENSION.

1.16, лютый жабист__ (?), 09:11, 08/04/2019 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
Кто-то ещё пользуется поцгресом?

2.17, KonstantinB (ok), 05:30, 10/04/2019 [^] [^^] [^^^] [ответить]	+/–
Да, разумеется. А какие варианты-то еще, кроме мыскля?

3.18, лютый жабист__ (?), 07:37, 10/04/2019 [^] [^^] [^^^] [ответить]	+/–
> Да, разумеется. А какие варианты-то еще, кроме мыскля? Тяжело жить на планете с двумя СУБД. А у нас всё хорошо с этим.

4.19, KonstantinB (ok), 19:27, 10/04/2019 [^] [^^] [^^^] [ответить]	+/–
Опенсорсных, реляционных и достаточно широко распространенных - да, две. А у вас что?

Добавить комментарий

Текст: