CVE-2015-3166

PostgreSQL: błąd obsługi błędów systemowych w implementacji snprintf

CVSS 9.8v3.1pub. 2019-11-20upd. 2024-11-21

Implementacja funkcji snprintf w PostgreSQL nieprawidłowo obsługuje błędy wywołań systemowych, co może prowadzić do ujawnienia wrażliwych informacji lub innych niezdefiniowanych skutków. Podatność oceniono jako krytyczną (CVSS 9.8) ze względu na brak wymagań dotyczących uwierzytelnienia i szeroki zakres potencjalnych skutków.

▸ Pokaż oryginał (EN)

The snprintf implementation in PostgreSQL before 9.0.20, 9.1.x before 9.1.16, 9.2.x before 9.2.11, 9.3.x before 9.3.7, and 9.4.x before 9.4.2 does not properly handle system-call errors, which allows attackers to obtain sensitive information or have other unspecified impact via unknown vectors, as demonstrated by an out-of-memory error.

🤖 Analiza AI

Jak działa

Błąd dotyczy implementacji snprintf wbudowanej w PostgreSQL, która nie obsługuje poprawnie sytuacji, gdy wywołanie systemowe kończy się błędem — przykładem takiego błędu jest wyczerpanie pamięci (out-of-memory). W takiej sytuacji funkcja może zwrócić lub ujawnić dane, które nie powinny być dostępne dla atakującego. Wektor ataku nie jest szczegółowo opisany w dostępnych informacjach (nieznane wektory), jednak podatność jest osiągalna zdalnie bez uwierzytelnienia.

Skutki

Atakujący może uzyskać dostęp do wrażliwych informacji przetwarzanych przez serwer bazodanowy lub wywołać inne, bliżej nieokreślone skutki, w tym potencjalnie naruszenie integralności i dostępności systemu.

Mitygacja

Należy zaktualizować PostgreSQL do wersji 9.0.20, 9.1.16, 9.2.11, 9.3.7 lub 9.4.2 (odpowiednio do używanej gałęzi). Szczegóły dostępne w oficjalnym ogłoszeniu producenta pod adresem http://www.postgresql.org/about/news/1587/ oraz w dokumentacji wydania.

Kogo dotyczy

PostgreSQL w wersjach przed 9.0.20, 9.1.x przed 9.1.16, 9.2.x przed 9.2.11, 9.3.x przed 9.3.7 oraz 9.4.x przed 9.4.2

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Canonical Ubuntu
OS
Canonical
12.0414.0414.1015.04
Debian
OS
Debian
7.08.09.0
PostgreSQL
APP
Postgresql
< 9.0.209.4 – 9.4.2 (bez)9.3 – 9.3.7 (bez)9.2 – 9.2.11 (bez)9.1 – 9.1.16 (bez)