Una vulnerabilidad crÃtica identificada como CVE-2024-7348 ha sido descubierta en PostgreSQL, lo que permite a los atacantes ejecutar funciones SQL arbitrarias.
Esta vulnerabilidad en la utilidad pg_dump supone un riesgo de seguridad significativo, especialmente cuando se ejecuta por parte de superusuarios.
CVE-2024-7348 - Detalles de la vulnerabilidad
El error es una condición de carrera de tiempo de verificación y tiempo de uso (TOCTOU) en el proceso pg_dump. Un atacante puede explotar esto reemplazando otro tipo de relación con una vista o tabla extranjera, lo que le permite ejecutar funciones SQL arbitrarias.
El ataque requiere un timing preciso para coincidir con el inicio de pg_dump, pero la condición de carrera es fácil de ganar si el atacante mantiene una transacción abierta.
Versiones afectadas
La vulnerabilidad afecta a las versiones de PostgreSQL anteriores a 16.4, 15.8, 14.13, 13.16 y 12.20. El proyecto PostgreSQL ha lanzado parches para estas versiones a partir del 8 de agosto de 2024. Se recomienda encarecidamente a los usuarios que actualicen sus sistemas a estas versiones corregidas para mitigar el riesgo.
Información de versión
Evaluación de seguridad
La vulnerabilidad ha sido asignada una puntuación general de CVSS 3.0 de 8.8, lo que indica un nivel de gravedad alto.
El componente del servidor central está afectado, con un vector descrito como AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, lo que destaca el potencial de impactos significativos en la confidencialidad, integridad y disponibilidad.
El proyecto PostgreSQL agradece a Noah Misch por reportar este problema. Los usuarios que descubran nuevas vulnerabilidades de seguridad se animan a contactar con el equipo de seguridad de PostgreSQL. Para errores no relacionados con la seguridad, los usuarios deben consultar la página Informe un error.
Esta vulnerabilidad destaca la importancia de las actualizaciones oportunas y las prácticas de seguridad vigilantes para proteger datos confidenciales y mantener la integridad del sistema.
Fuente: GB Hackers