8 лютого 2024 року вийшло оновлення PostgreSQL 16.2, у якому виправлено помилку виконання коду користувача з правами власника подання. Хоча вразливість була виявлена, вона може не становити загрози для версій 16.0 і новіших.
Випущена 8 лютого 2024 року версія 16.2 містить виправлення, яке коректно обробляє права доступу під час виконання команди REFRESH MATERIALIZED VIEW CONCURRENTLY. Хоча відомі методи експлуатації не працювали у версіях 16.0 та новіших, оновлення є необхідним заходом безпеки для забезпечення цілісності прав доступу.
Рекомендації:
- Оновіть екземпляри PostgreSQL до версії 16.2 або новішої.
- Проведіть аудит прав доступу для користувачів, які мають дозвіл на оновлення матеріалізованих подань.
- Перевірте, чи відрізняється власник матеріалізованого подання від користувача, що ініціює команду
REFRESH, для підтвердження коректності застосування політик безпеки.
Виправлення прав доступу в PostgreSQL 16.2
Вразливість у PostgreSQL 16.2, пов'язана з підвищенням привілеїв під час оновлення матеріалізованих подань, створює ризик несанкціонованого доступу до даних. Для адміністраторів баз даних це сигнал до негайного перегляду політик безпеки та оновлення версій ПЗ, щоб уникнути експлуатації прав доступу зловмисниками.
Практичний крок: Оновіть ваші екземпляри PostgreSQL до версії 16.2 або новішої. Замовте в Softline аудит налаштувань прав доступу до баз даних, щоб переконатися, що політики безпеки відповідають актуальним стандартам захисту та мінімізують ризики несанкціонованого виконання коду.
Використані джерела
- postgresql.org (postgresql.org)