PT-2020-14995 · Postgresql · Asyncpg

Risicle · Publicado 2020-08-12 · Atualizado 2024-07-12 · CVE-2020-17446

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do asyncpg anteriores à 0.21.0

Descrição

A vulnerabilidade permite que um servidor PostgreSQL malicioso provoque uma falha ou execute código arbitrário em um cliente de banco de dados por meio de uma resposta de servidor maliciosamente criada. Isso ocorre devido ao acesso a um ponteiro não inicializado no decodificador de dados da matriz.

Recomendações

Para versões anteriores à 0.21.0, atualize para a versão 0.21.0 ou posterior para resolver o problema.

Correção

Access of Uninitialized Pointer

Enumeração de Fraquezas

CWE-824

Identificadores relacionados

CVE-2020-17446

DLA-2363-1

GHSA-2XPJ-F5G2-8P7M

OPENSUSE-SU-2024:11215-1

OPENSUSE-SU-2024:14132-1

PYSEC-2020-24

Produtos afetados

Asyncpg

Referências · 18

• https://github.com/MagicStack/asyncpg/releases/tag/v0.21.0 · Correção
• https://github.com/MagicStack/asyncpg · Nota
• https://github.com/MagicStack/asyncpg/commit/69bcdf5bf7696b98ee708be5408fd7d854e910d0 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/asyncpg/PYSEC-2020-24.yaml · Nota
• https://osv.dev/vulnerability/GHSA-2xpj-f5g2-8p7m · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2020-24 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-17446 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2024:14132-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-17446 · Nota de Segurança
• https://github.com/advisories/GHSA-2xpj-f5g2-8p7m · Nota
• https://cve.org/CVERecord?id=CVE-2020-17446 · Nota de Segurança
• https://osv.dev/vulnerability/DLA-2363-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-17446 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2020/09/msg00002.html · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-17446 · Aviso do Fabricante