Avis du CERT-FR

Json

Objet : Vulnérabilités de PostgreSQL

Gestion du document

Référence	CERTA-2002-AVI-192
Titre	Vulnérabilités de PostgreSQL
Date de la première version	27 août 2002
Date de la dernière version	13 septembre 2002
Source(s)

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire

Systèmes affectés

PostgreSQL versions 7.2.1 et antérieures.

Résumé

Plusieurs vulnérabilités sur PostgreSQL permettent à un utilisateur mal intentionné d'exécuter du code arbitraire.

Description

PostgreSQL est un gestionnaire de bases de données relationnelles.

Des vulnérabilités de type débordement de mémoire, découvertes dans plusieurs fonctions, permettent à un utilisateur mal intentionné d'exécuter du code arbitraire.

L'utilisateur doit pouvoir se connecter à l'une des bases pour exploiter ces vulnérabilités.

Contournement provisoire

Pour limiter l'impact des vulnérabilités, vous pouvez :

bloquer le port sur lequel le serveur PostgreSQL est en écoute (5432/tcp par défaut) au niveau des pare-feux afin d'empêcher l'exploitation de ces vulnérabilités depuis l'Internet ;
ne pas accepter les connexions non authentifiées (trust authentication) à la base de données.

Editez pour cela le fichier pg_hba.conf.

Solution

La version 7.2.2 corrige ces vulnérabilités.

Documentation

Avis de PostgreSQL :
http://www.fr.postgresql.org/news.html

Gestion détaillée du document

Date	Description
27 août 2002	version initiale ;
13 septembre 2002	première révision : ajout de l'avis Debian.