S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 avril 2007 No CERTA-2007-AVI-187

Affaire suivie par :

CERTA

Objet : Vulnérabilité de PostgreSQL

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Élevation de privilèges ;
• exécution de code arbitraire à distance.

2 Systèmes affectés

PostgreSQL, versions 7.x et 8.x.

3 Résumé

4 Description

Une erreur dans la fonction security-definer peut être exploitée par un utilisateur malveillant non privilégié pour élever ses privilèges puis utiliser des objets temporaires. Le code de l'utilisateur malveillant est alors exécuté avec les privilèges de la fonction security-definer.

5 Solution

Passer à l'une des versions 8.2.4, 8.1.9, 8.0.13, 7.4.17 ou 7.3.19. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Site du projet PostgreSQL :

  http://www.postgresql.org/download/
  

• Référence CVE CVE-2007-2138 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2138
  

Gestion détaillée du document

25 avril 2007

version initiale.