S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 21 octobre 2004
N° CERTA-2004-AVI-352-002
Affaire suivie par: CERT-FR
le 21 octobre 2004

Avis du CERT-FR

Objet: Vulnérabilité dans PostgreSQL

Gestion du document

Référence CERTA-2004-AVI-352-002
Titre Vulnérabilité dans PostgreSQL
Date de la première version 21 octobre 2004
Date de la dernière version 21 décembre 2004
Source(s) Bulletin de sécurité Gentoo GLSA-200410-16 du 18 octobre 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Atteinte à l'intégrité des données.

Systèmes affectés

PostgreSQL 7.4.5-r1 et versions antérieures.

Résumé

Une vulnérabilité découverte dans PostgreSQL permet à un utilisateur local, mal intentionné, de porter atteinte à l'intégrité des données présentes sur le système.

Description

PostgreSQL est un outil de base de données Open Source. Une vulnérabilité présente dans le script make_oidjoins_check permet à un utilisateur mal intentionné, ayant un accès local au système, de forcer la modification de fichiers avec les droits d'un autre utilisateur au moyen de liens symboliques habilement constitués.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation)

Documentation

Gestion détaillée du document

    le 21 octobre 2004
    version initiale.
    le 16 décembre 2004
    Mention de la réference CVE et de l'annonce PostgreSQL. Ajout références aux bulletins de sécurité de Debian, Mandrake et FreeBSD.
    le 21 décembre 2004
    ajout référence au bulletin de sécurité de Red Hat.