S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 09 février 2005
N° CERTA-2005-AVI-049-008
Affaire suivie par: CERT-FR
le 09 février 2005

Avis du CERT-FR

Objet: Vulnérabilité de PostgreSQL

Gestion du document

Référence CERTA-2005-AVI-049-008
Titre Vulnérabilité de PostgreSQL
Date de la première version 09 février 2005
Date de la dernière version 21 avril 2005
Source(s) Bulletin de sécurité Debian DSA-668
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité ;
  • exécution locale de code arbitraire avec les droits du serveur PostgreSQL.

Systèmes affectés

  • Pour la branche 7.2.x, PostgreSQL versions 7.2.6 et antérieures ;
  • pour la branche 7.3.x, PostgreSQL versions 7.3.8 et antérieures ;
  • pour la branche 7.4.x, PostgreSQL versions 7.4.6 et antérieures ;
  • pour la branche 8.0.x, PostgreSQL versions 8.0.0 et antérieures.

Description

PostgreSQL est un outil de base de données Open Source.
Plusieurs vulnérabilités permettent à un utilisateur mal intentionné de contourner les vérifications de sécurité ou d'exécuter du code arbitraire, en local, avec les droits du serveur PostgreSQL.

Solution

Dans tous les cas, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Mettre à jour PostgreSQL en versions 8.0.1, 7.4.7, 7.3.9 ou 7.2.7.
PostgreSQL est téléchargeable à l'adresse suivante : 

http://wwwmaster.postgresql.org/download/mirror-ftp/

Documentation

Gestion détaillée du document

    le 09 février 2005
    version initiale.
    le 14 février 2005
    ajout de la référence au bulletin de sécurité RedHat RHSA-2005:141 et des références CVE CAN-2005-244, CAN-2005-245, CAN-2005-246 et CAN-2005-247.
    le 15 février 2005
    ajout de la référence au bulletin de sécurité Gentoo GLSA 200502-19.
    le 16 février 2005
    ajout de la référence au bulletin de sécurité Debian DSA-683.
    le 17 février 2005
    ajout de la référence au bulletin de sécurité RedHat RHSA-2005:150.
    le 18 février 2005
    ajout de la référence au bulletin de sécurité RedHat RHSA-2005:138.
    le 28 février 2005
    ajout des références aux mises à jour de sécurité Fedora pour PostgreSQL.
    le 21 avril 2005
    ajout référence au bulletin de sécurité SuSE.