[TLP:CLEAR] PostgreSQL opravuje 3 zranitelnosti
PostgreSQL verzemi 17.6, 16.10, 15.14, 14.19, 13.22 a 18 Beta 3 opravuje 3 zranitelnosti [1].
Neautentizovanému vzdálenému útočníkovi, který je superuživatelem zdrojového serveru, je kvůli nezabezpečenému zpracování nedůvěryhodných dat v pg_dump v PostgreSQL umožněno vložit a při obnově vykonat libovolný kód pod účtem systému, který provádí psql restore [1].
Zranitelnost se nachází v produktu PostgreSQL ve verzích (>=17.0 AND <17.6) OR (>=16.0 AND <16.10) OR (>=15.0 AND <15.14) OR (>=14.0 AND <14.19) OR (>=13.0 AND <13.22).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-8714 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-829: Inclusion of Functionality from Untrusted Control Sphere at cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávné neutralizaci znaků nového řádku v pg_dump v PostgreSQL umožněno vložit a při obnově vykonat libovolný kód pod účtem systému, který provádí psql restore, případně provést SQL injekci jako superuživatel cílového serveru [1].
Zranitelnost se nachází v produktu PostgreSQL ve verzích (>=17.0 AND <17.6) OR (>=16.0 AND <16.10) OR (>=15.0 AND <15.14) OR (>=14.0 AND <14.19) OR (>=13.0 AND <13.22).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-8715 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-93: Improper Neutralization of CRLF Sequences ('CRLF Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2025.
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné ochraně optimalizačních statistik v PostgreSQL umožněno číst vzorkovaná data i z tabulek chráněných přístupovými právy nebo zásadami řádkového zabezpečení [1].
Zranitelnost se nachází v produktu PostgreSQL ve verzích (>=17.0 AND <17.6) OR (>=16.0 AND <16.10) OR (>=15.0 AND <15.14) OR (>=14.0 AND <14.19) OR (>=13.0 AND <13.22).
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-8713 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-1230: Exposure of Sensitive Information Through Metadata at cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 8. 2025.
Za CESNET-CERTS Michaela Jarošová dne 2. 9. 2025.
