Avis du CERT-FR
Objet : Vulnérabilités dans PostgreSQL
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
- La version PostgreSQL 7.3.14 et les versions 7.3.x antérieures ;
- la version PostgreSQL 7.4.12 et les versions 7.4.x antérieures ;
- la version PostgreSQL 8.0.7 et les versions 8.0.x antérieures ;
- la version PostgreSQL 8.1.3 et les versions 8.1.x antérieures.
Résumé
Deux vulnérabilités ont été identifiées dans PostgreSQL. Elles peuvent être utilisées par une personne malveillante pour injecter des requêtes SQL, afin d'accéder ou modifier les données inclues dans la base, et ainsi contourner la politique de sécurité.
Description
PostgreSQL est un système de gestion de bases de données (DBMS). Deux vulnérabilités ont été identifiées dans certaines versions du serveur. Il ne contrôle pas correctement certains caractères d'échappement, tels que le guillemet '. Un utilisateur malveillant peut profiter de ce problème pour injecter, soit directement, soit par le biais d'une application tierce, des requêtes SQL arbitraires. La politique de sécurité est alors contournée.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian DSA-1087 du 03 juin 2006 :
http://www.debian.org/security/2006/dsa-1087 -
Bulletin de sécurité FreeBSD :
http://www.vuxml.org/freebsd/pkg-ja-postgresql.html -
Bulletin de sécurité Mandriva MDKSA-2006:098 du 07 juin 2006 :
http://www.mandriva.com/security/advisories?name=MDKSA-2006:098 -
Bulletin de sécurité PostgreSQL du 22 mai 2006 :
http://www.postgresql.org/docs/techdocs.50 -
Bulletin de sécurité RedHat du 26 mai 2006 :
http://rhn.redhat.com/errata/RHSA-2006-0526.html -
Page de mise à jour PostgreSQL :
http://www.postgresql.org/download -
Référence CVE CVE-2006-2313
https://www.cve.org/CVERecord?id=CVE-2006-2313 -
Référence CVE CVE-2006-2314
https://www.cve.org/CVERecord?id=CVE-2006-2314
Gestion détaillée du document
| Date | Description |
|---|---|
| 24 mai 2006 | version initiale ; |
| 26 mai 2006 | ajout de la référence au bulletin de sécurité RedHat. |
| 06 juin 2006 | ajout de la référence au bulletin de sécurité Debian. |
| 08 juin 2006 | ajout de la référence au bulletin de sécurité Mandriva. |
| 21 août 2006 | ajout de la référence au bulletin de sécurité FreeBSD. |