Podatności CloudNativePG

CloudNativePG przed wersjami 1.28.4 i 1.29.2 otwierał połączenia superużytkownika bez przypięcia search_path, co pozwalało posiadaczowi roli DATABASE OWNER na wykonanie funkcji kontrolowanych przez atakującego jako superużytkownik postgres, w tym wykonanie poleceń systemu operacyjnego i dostęp do tokena ServiceAccount.

CloudNativePG przed wersjami 1.29.1 i 1.28.3 ma podatność w eksporterze metryk, który łączy się jako superużytkownik postgres przez Unix socket, a następnie obniża uprawnienia za pomocą SET ROLE pg_monitor. Atakujący może użyć RESET ROLE, aby odzyskać uprawnienia superużytkownika i wykonać dowolne polecenia systemowe przez COPY ... TO PROGRAM.

CloudNativePG przed wersjami 1.28.4 i 1.29.2 przechowywał hasła ról w postaci jawnego tekstu w zapytaniach ALTER ROLE i CREATE ROLE. Jeśli pg_stat_statements był włączony z track_utility, a nieufny dzierżawca miał uprawnienia pg_monitor lub pg_read_all_stats, mógł odzyskać hasła superużytkownika lub właściciela aplikacji, a następnie wykonać polecenia systemu operacyjnego w podzie bazy danych. Problem naprawiono w wersjach 1.28.4, 1.29.2 i 1.30.0.