Multiples vulnérabilités dans PostgreSQL

Gestion du document

Référence	CERTA-2010-AVI-214
Titre	Multiples vulnérabilités dans PostgreSQL
Date de la première version	18 mai 2010
Date de la dernière version	15 juillet 2010
Source(s)	Avis de sécurité de PostgreSQL du 14 mai 2010
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire
Élévation de privilèges

Systèmes affectés

Les versions 7.4, 8.0, 8.1, 8.2, 8.3 et 8.4 de PostgreSQL sont affectées.

Résumé

Des vulnérabilités multiples affectent PostgreSQL et permettent à un utilisateur malveillant d'exécuter du code arbitraire, de contourner la politique de sécurité ou d'élever ses privilèges.

Description

Plusieurs vulnérabilités sont présentes dans PostgreSQL :

Le module PL/Perl, s'il est installé et activé, peut permettre l'exécution de code PERL arbitraire sur le serveur ;
Le module PL/Tcl, s'il est installé et activé, peut permettre l'exécution de code Tcl arbitraire sur le serveur.

D'autres vulnérabilités non spécifiées affectent aussi les versions vulnérables de PostgreSQL.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Les versions 8.4.4, 8.3.11, 8.2.17, 8.1.21, 8.0.25 et 7.4.29 corrigent ces problèmes.