CVE-2024-10979
ŚrednieStreszczenie
W PostgreSQL w rozszerzeniu PL/Perl wykryto nieprawidłową kontrolę zmiennych środowiskowych, co pozwala nieuprzywilejowanemu użytkownikowi bazy danych na zmianę wrażliwych zmiennych środowiskowych procesu (np. PATH). To często wystarcza do uzyskania możliwości wykonania dowolnego kodu, nawet jeśli atakujący nie ma konta systemowego na serwerze bazy danych.
Ocena ryzyka
Nieuprzywilejowany użytkownik bazy danych może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnego przejęcia systemu.
Rekomendacja
Zaleca się aktualizację PostgreSQL do wersji zawierającej poprawkę oraz ograniczenie użycia PL/Perl do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Incorrect control of environment variables in PostgreSQL PL/Perl allows an unprivileged database user to change sensitive process environment variables (e.g. PATH). That often suffices to enable arbitrary code execution, even if the attacker lacks a database server operating system user. Versions