S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 08 janvier 2008
N° CERTA-2008-AVI-005
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans PostgreSQL

Gestion du document

Référence CERTA-2008-AVI-005
Titre Vulnérabilités dans PostgreSQL
Date de la première version08 janvier 2008
Date de la dernière version08 janvier 2008
Source(s) Bulletin de sécurité PostgreSQL du 06 janvier 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Élévation de privilèges

Systèmes affectés

PostgreSQL versions 7.3, 7.4, 8.0, 8.1 et 8.2.

Résumé

Des vulnérabilités dans PostgreSQL permettent de réaliser un déni de service ou une élévation de privilèges.

Description

Plusieurs vulnérabilités ont été découvertes dans PostgreSQL :

  • une des fonctionnalités de PostgreSQL permet de créer une indexation des résultats de fonctions définies par l'utilisateur. Des vulnérabilités dans les fonctions d'indexation permettent d'élever les privilèges de l'utilisateur (CVE-2007-6600) ;
  • des problèmes ont été découverts dans les bibliothèques permettant le traitement des expressions régulières par PostgreSQL. Un utilisateur malintentionné peut, par le biais d'expressions régulières spécifiques, réaliser un déni de service (CVE-2007-4769, CVE-2007-4772 et CVE-2007-6067) ;
  • une vulnérabilité dans les fonctions DBLink permet l'élévation des privilèges (CVE-2007-6601).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 08 janvier 2008
    version initiale.