PT-2024-8140 · Postgresql+11 · Postgresql+11
Tom Lane
·
Publicado
2024-11-14
·
Atualizado
2026-04-03
·
CVE-2024-10978
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
Versões do PostgreSQL anteriores à 17.1
Versões do PostgreSQL anteriores à 16.5
Versões do PostgreSQL anteriores à 15.9
Versões do PostgreSQL anteriores à 14.14
Versões do PostgreSQL anteriores à 13.17
Versões do PostgreSQL anteriores à 12.21
Descrição:
O problema decorre de uma atribuição incorreta de privilégios, permitindo que um usuário de aplicativo com menos privilégios visualize ou altere linhas diferentes daquelas pretendidas. Um ataque requer que o aplicativo utilize SET ROLE, SET SESSION AUTHORIZATION ou um recurso equivalente. O problema ocorre quando uma consulta do aplicativo utiliza parâmetros do invasor ou transmite resultados da consulta ao invasor, e reage a
current setting(‘role’) ou ao ID do usuário atual. Isso pode fazer com que a consulta modifique ou retorne dados como se a sessão não tivesse usado SET ROLE ou SET SESSION AUTHORIZATION. O invasor não controla qual ID de usuário incorreta é aplicada.Recomendações:
Para versões anteriores à 17.1, atualize para o PostgreSQL 17.1 ou posterior.
Para versões anteriores à 16.5, atualize para o PostgreSQL 16.5 ou posterior.
Para versões anteriores à 15.9, atualize para o PostgreSQL 15.9 ou posterior.
Para versões anteriores à 14.14, atualize para o PostgreSQL 14.14 ou posterior.
Para versões anteriores à 13.17, atualize para o PostgreSQL 13.17 ou posterior.
Para versões anteriores à 12.21, atualize para o PostgreSQL 12.21 ou posterior.
Como solução temporária, considere restringir o uso dos recursos SET ROLE e SET SESSION AUTHORIZATION até que um patch esteja disponível. Evite usar parâmetros de fontes não confiáveis no aplicativo
Correção
Incorrect Privilege Assignment
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Postgresql
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu
Zvirt Node