CVE-2023-5868
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
W PostgreSQL odkryto podatność na ujawnienie pamięci, która pozwala zdalnym użytkownikom na dostęp do wrażliwych informacji poprzez wykorzystanie określonych wywołań funkcji agregujących z argumentami typu 'unknown'. Obsługa wartości typu 'unknown' z literałów ciągowych bez oznaczenia typu może ujawniać bajty, co potencjalnie prowadzi do ujawnienia istotnych i poufnych informacji.
Ocena ryzyka
Podatność ta stwarza ryzyko ujawnienia poufnych danych, co może prowadzić do naruszenia prywatności oraz bezpieczeństwa organizacji. Zdalni użytkownicy mogą uzyskać dostęp do fragmentów pamięci systemowej, co zwiększa ryzyko wycieku informacji.
Rekomendacja
Zaleca się aktualizację PostgreSQL do najnowszej wersji, aby załatać tę podatność. Dodatkowo, warto ograniczyć dostęp do funkcji agregujących dla zdalnych użytkowników oraz monitorować logi w celu wykrycia potencjalnych prób wykorzystania tej luki.
Oryginalny opis (angielski, źródło NVD)
A memory disclosure vulnerability was found in PostgreSQL that allows remote users to access sensitive information by exploiting certain aggregate function calls with 'unknown'-type arguments. Handling 'unknown'-type values from string literals without type designation can disclose bytes, potentially revealing notable and confidential information. This issue exists due to excessive data output in aggregate function calls, enabling remote users to read some portion of system memory.