CVE-2024-10977
ŚrednieStreszczenie
W PostgreSQL klient może używać komunikatów błędów serwera, który nie jest zaufany w ramach bieżących ustawień SSL lub GSS, co pozwala serwerowi na dostarczenie dowolnych bajtów innych niż NUL do aplikacji libpq. Na przykład atakujący typu man-in-the-middle może wysłać długi komunikat błędu, który użytkownik psql może błędnie zinterpretować.
Ocena ryzyka
Atakujący typu man-in-the-middle może manipulować komunikatami błędów, co może prowadzić do oszukania użytkownika lub ekranowego skanera, potencjalnie ujawniając poufne informacje.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji zawierającej poprawkę oraz stosowanie silnego uwierzytelniania SSL/TLS z weryfikacją certyfikatów.
Oryginalny opis (angielski, źródło NVD)
Client use of server error message in PostgreSQL allows a server not trusted under current SSL or GSS settings to furnish arbitrary non-NUL bytes to the libpq application. For example, a man-in-the-middle attacker could send a long error message that a human or screen-scraper user of psql mistakes