PostgreSQL竞争条件漏洞

admin
admin
admin
144357
文章
118
评论
2024年8月16日10:01:39评论90 views字数 604阅读2分0秒阅读模式
0x00 漏洞编号

  • CVE-2023-2454

0x01 危险等级
  • 高危
0x02 漏洞概述

PostgreSQL是一个免费的对象-关系数据库服务器，它的Slogan是“世界上最先进的开源关系型数据库”。它具有强大的功能、稳定的性能、高度的可扩展性和丰富的数据类型。

PostgreSQL竞争条件漏洞

0x03 漏洞详情
CVE-2023-2454
漏洞类型：竞争条件
影响：代码执行
简述：PostgreSQL多个受影响版本在pg_dump工具中存在TOCTOU竞争条件漏洞，pg_dump是PostgreSQL用于备份数据库的工具，它通常由具有较高权限的用户运行。pg_dump工具在导出数据库对象时会检查数据库中的对象类型并在之后处理这些对象，由于pg_dump在检查对象类型和实际使用这些对象之间存在检查时间使用时间竞争条件漏洞，威胁者可利用该漏洞来替换某些数据库对象，从而在pg_dump的执行过程中插入和执行恶意SQL代码/函数，从而可能控制数据库或破坏数据完整性。
0x04 影响版本
  • PostgreSQL 16 < 16.4
  • PostgreSQL 15 < 15.8
  • PostgreSQL 14 < 14.13
  • PostgreSQL 13 < 13.16
  • PostgreSQL 12 < 12.20

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：
https://www.postgresql.org/

原文始发于微信公众号（浅安安全）：漏洞预警 | PostgreSQL竞争条件漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年8月16日10:01:39
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   PostgreSQL竞争条件漏洞https://cn-sec.com/archives/3071281.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息