Múltiples vulnerabilidades en PostgreSQL

28/02/2012
Se ha informado de varias vulnerabilidades en PostgreSQL, que podrían ser aprovechadas por usuarios maliciosos para saltarse determinadas restricciones de seguridad, y por atacantes maliciosos para realizar ataques de suplantación y manipular determinada infomación.

Riesgo: Bajo Bajo
Sistemas afectados:

PostgreSQL 8.x
PostgreSQL 9.x

Descripción:

1) Un error debido a un comprobar los permisos de CREATE TRIGGER en una función de disparo podría ser aprovechado para realizar un función de disparo como SECURITY DEFINER, lo que le concedería permisos de EXECUTE.

2) un error cuando se verifica el nombre común (CN) en los certificados SSL trunca incorrectamente el nombre a 32 caracteres, lo que podría resultar en uan verificación correcta de certificados falsificados.

3) Un error en el saneamiento de los datos de entrada en pg_dump cuando se insertan nombres de objeto en comentarios podría ser aprovechado para escapar comentarios a través de caracteres especiales e insertar comandos SQL en un script de volcado.

Las vulnerabilidades se han reportado en versiones anteriores a 9.1.3, 9.0.7, 8.4.11 y 8.3.18.

Solución:

Actualizar a la versión 9.1.3, 9.0.7, 8.4.11 ó 8.3.18. 

Tags:

Csirt-cv      Lista Trusted Introducer  Agencia Valenciana de Tecnología y Certificación Electrónica  CSIRT.es   Plan Avanza Antiphishing Working Group   Fondo Europeo de Desarrollo Regional