Kritische Sicherheitslücken in PostgreSQL geschlossen
Zusammenfassung
Die PostgreSQL-Entwickler schlossen im Januar 2008 fünf kritische Lücken in allen gepflegten Versionen von 7.3 bis 8.2. Über Expression Indexes und DBLink-Funktionen konnten Angreifer Administratorrechte erlangen, über reguläre Ausdrücke den Server per Denial of Service lahmlegen. Die Lücken wurden bei eigenen Analysen gefunden, Exploits waren nicht bekannt.
Ideen
- Funktionen in Indizes liefen mit falschen Rechten ab.
- Reguläre Ausdrücke können mit präparierten Mustern Server auslasten.
- Erweiterungen wie DBLink vergrößern die Angriffsfläche einer Datenbank.
- Korrekturen kamen für alle noch gepflegten Versionen gleichzeitig.
Einsichten
- Rechteprüfung in Datenbanken muss auch indirekte Ausführungswege abdecken.
- Proaktive Analysen und breite Versionspflege sind Stärken reifer Open-Source-Projekte.
Fakten
- Die Rechteausweitung über Expression Indexes ist als CVE-2007-6600 geführt.
- Die DBLink-Lücke trägt die Kennung CVE-2007-6601.
- Die Korrekturen erschienen als 8.2.6, 8.1.11, 8.0.15, 7.4.19 und 7.3.21; 7.3.21 war das letzte Update für 7.3.
Referenzen
Kritik
- Die Meldung nennt die Kennungen, erklärt aber nicht, welche Nutzerrechte ein Angreifer mindestens brauchte.
Empfehlungen
- Installiere nur die Datenbankerweiterungen, die tatsächlich gebraucht werden.
- Gib Anwendungskonten keine Rechte zum Anlegen von Funktionen oder Indizes, wenn nicht nötig.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.