Обновление PostgreSQL с устранением уязвимостей (CVE-2020-25695, CVE-2020-25694,CVE-2020-25696)

1. Описание уязвимости:

Уязвимость CVE-2020-25695 позволяет выполнить произвольные функции SQL с правами администратора при наличии доступа к созданию постоянных объектов в любой схеме хранения. CVE-2020-25694 - позволяет откатить клиентское соединение до менее безопасного состояния. CVE-2020-25696 - команда \gset в psql позволяет переопределить специальные переменные и организовать выполнение кода с правами процесса psql.Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-05465, BDU:2020-05467, BDU:2020-05466

2. Возможные меры по устранению уязвимости

При невозможности выполнить обновление в качестве обходного пути блокирования проблемы можно отключить autovacuum и не запускать вручную операции ANALYZE, CLUSTER, REINDEX, CREATE INDEX, VACUUM FULL и REFRESH MATERIALIZED VIEW, а также не выполнять восстановление БД на основе вывода команды pg_dump. Выполнение VACUUM без опции FULL признано безопасным, как и выполнение любых команд при работе с объектами, принадлежащими пользователю. Или обновить пакет postgresql.Установка обновлений возможна следующими способами:а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:# yum updateПосле вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия: - скачать обновленный пакет (с зависимостями при необходимости): http://repo.red-soft.ru/redos/7.2c/x86_64/updates/postgresql-11.10-1.el7.x86_64.rpm Проверить целостность и подлинность пакета по инструкцииУстановить скачанный пакет(ы) командой:# yum localinstall *.rpmПосле вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Дата последнего изменения: 08.09.2021

Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.