PostgreSQL 安全特性绕过漏洞(CVE-2023-2455)

admin

0
文章

0
评论

2023-11-29 23:38:23 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

中危 PostgreSQL 安全特性绕过漏洞(CVE-2023-2455)

CVE编号

CVE-2023-2455

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-05-12

漏洞描述

PostgreSQL 存在安全特性绕过漏洞，该漏洞的存在是由于 (CVE-2016-2193) 的修复不完整，没有预料到涉及函数内联的场景。这种情况可能发生在安全定义器函数下，或者当最初计划一个普通用户和查询然后跨多个 SET ROLE 重新使用时。应用不正确的策略可能允许用户完成否则禁止的读取和修改。这仅影响已使用 CREATE POLICY 定义行安全策略的数据库。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://access.redhat.com/security/cve/CVE-2023-2455
https://security.netapp.com/advisory/ntap-20230706-0006/
https://www.postgresql.org/support/security/CVE-2023-2455/

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 11.0	Up to (excluding) 11.20
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 12.0	Up to (excluding) 12.15
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 13.0	Up to (excluding) 13.11
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 14.0	Up to (excluding) 14.8
	运行在以下环境
	应用	postgresql	postgresql	*	From (including) 15.0	Up to (excluding) 15.3
	运行在以下环境
	应用	redhat	software_collections	-	-
	运行在以下环境
	系统	alpine_3.13	postgresql	*		Up to (excluding) 13.11-r0
	运行在以下环境
	系统	alpine_3.14	postgresql	*		Up to (excluding) 13.11-r0
	运行在以下环境
	系统	alpine_3.15	postgresql12	*		Up to (excluding) 14.8-r0
	运行在以下环境
	系统	alpine_3.16	postgresql12	*		Up to (excluding) 14.8-r0
	运行在以下环境
	系统	alpine_3.17	postgresql12	*		Up to (excluding) 14.8-r0
	运行在以下环境
	系统	alpine_3.18	postgresql14	*		Up to (excluding) 14.8-r0
	运行在以下环境
	系统	alpine_edge	postgresql13	*		Up to (excluding) 14.8-r0
	运行在以下环境
	系统	amazon_2	postgresql	*		Up to (excluding) 14.8-1.amzn2.0.1
	运行在以下环境
	系统	amazon_2023	postgresql15	*		Up to (excluding) 15.4-1.amzn2023.0.1
	运行在以下环境
	系统	anolis_os_8	postgresql-plperl	*		Up to (excluding) 1.4.8-1
	运行在以下环境
	系统	debian_10	postgresql-11	*		Up to (excluding) 11.20-0+deb10u1
	运行在以下环境
	系统	debian_11	postgresql-13	*		Up to (excluding) 13.11-0+deb11u1
	运行在以下环境
	系统	debian_12	postgresql-15	*		Up to (excluding) 15.3-0+deb12u1
	运行在以下环境
	系统	debian_sid	postgresql-15	*		Up to (excluding) 15.3-0+deb12u1
	运行在以下环境
	系统	fedoraproject	fedora	38	-
	运行在以下环境
	系统	opensuse_Leap_15.4	postgresql13-devel	*		Up to (excluding) 15.3-150200.5.9.1
	运行在以下环境
	系统	oracle_8	oraclelinux-release	*		Up to (excluding) 1.7.0-1.module+el8.8.0+20973+992b6275
	运行在以下环境
	系统	oracle_9	oraclelinux-release	*		Up to (excluding) 15.3-1.module+el9.2.0+21134+ceb95ed9
	运行在以下环境
	系统	redhat	enterprise_linux	8.0	-
	运行在以下环境
	系统	redhat	enterprise_linux	9.0	-
	运行在以下环境
	系统	redhat_9	postgresql-private-libs-debuginfo	*		Up to (excluding) 13.11-1.el9_2
	运行在以下环境
	系统	suse_12_SP5	postgresql14-pltcl	*		Up to (excluding) 15.3-3.9.1
	运行在以下环境
	系统	ubuntu_18.04	postgresql-10	*		Up to (excluding) 10.23-0ubuntu0.18.04.2
	运行在以下环境
	系统	ubuntu_20.04	postgresql-12	*		Up to (excluding) 12.15-0ubuntu0.20.04.1
	运行在以下环境
	系统	ubuntu_22.04	postgresql-14	*		Up to (excluding) 14.8-0ubuntu0.22.04.1
	运行在以下环境
系统	ubuntu_22.10	postgresql-14	*		Up to (excluding) 14.8-0ubuntu0.22.10.1
运行在以下环境
系统	unionos_d	postgresql-11	*		Up to (excluding) 11.20-deepin1