PT-2021-5077 · Unknown+11 · Postgresql+10
Jacob Champion
·
Publicado
2021-11-10
·
Atualizado
2026-04-03
·
CVE-2021-23214
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do PostgreSQL anteriores à versão corrigida
Descrição
O problema está relacionado a um ataque man-in-the-middle quando o servidor está configurado para usar autenticação de confiança com exigência de certificado de cliente ou para usar autenticação por certificado. Isso permite que um invasor injete consultas SQL arbitrárias quando uma conexão é estabelecida pela primeira vez, apesar do uso de verificação de certificado SSL e criptografia. A vulnerabilidade está associada à falta de proteção para a estrutura da consulta SQL, o que pode permitir que um invasor remoto execute código arbitrário.
Recomendações
Para versões anteriores à versão corrigida, considere desativar o uso da autenticação por confiança com exigência de certificado de cliente ou da autenticação por certificado até que um patch esteja disponível. Restrinja o acesso à estrutura da consulta SQL para minimizar o risco de exploração. Evite usar conexões não criptografadas para prevenir ataques man-in-the-middle. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
SQL injection
Insufficiently Protected Credentials
Missing Encryption of Sensitive Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Postgresql
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu