Реліз PostgreSQL 15.2, що відбувся 9 лютого 2023 року, став важливим оновленням для забезпечення безпеки клієнт-серверної взаємодії. Основна увага в цьому випуску була приділена усуненню вразливості CVE-2022-41862, яка зачіпала бібліотеку libpq — стандартний інтерфейс для підключення клієнтів до серверів PostgreSQL.
Технічна проблема полягала в тому, що при невдалій спробі встановлення GSSAPI-шифрування з’єднання, бібліотека libpq могла некоректно обробляти повідомлення про помилки. Це призводило до потенційного розкриття вмісту пам’яті, що створювало ризик витоку конфіденційних даних під час процесу автентифікації. Виправлення у версії 15.2 гарантує, що повідомлення про помилки не містять залишків даних із пам’яті процесу.
Адміністраторам баз даних та розробникам, які використовують libpq, наполегливо рекомендується оновити свої інсталяції до версії 15.2 або новішої. Це оновлення є критичним для систем, де GSSAPI використовується для захисту з’єднань, оскільки воно закриває вектор атаки, що дозволяє зловмисникам отримувати доступ до пам’яті через маніпуляції з помилками підключення.
Що це означає для бізнесу
Безпека баз даних є критичною для захисту конфіденційної інформації компанії. Вразливості в бібліотеках підключення, таких як libpq, можуть призвести до витоку даних через маніпуляції з помилками автентифікації, що створює пряму загрозу цілісності ваших бізнес-даних.
Практичний крок: Оновіть PostgreSQL до безпечної версії. Замовте в Softline аудит безпеки ваших баз даних та налаштування захищених з'єднань, щоб мінімізувати ризики розкриття пам'яті та забезпечити надійний захист даних під час автентифікації.
Використані джерела
- postgresql.org (postgresql.org)