CVE-2022-41946
Təsvir
pgjdbc açıq mənbəli postgresql JDBC drayveridir. Təsirə məruz qalan versiyalarda, əgər InputStream 2k-dan böyükdürsə, `PreparedStatement.setText(int, InputStream)` və ya `PreparedStatemet.setBytea(int, InputStream)` istifadə edən hazırlanmış sorğu (prepared statement) müvəqqəti fayl yaradacaqdır. Bu, Unix bənzəri sistemlərdə digər istifadəçilər tərəfindən oxuna bilən müvəqqəti fayl yaradır, lakin MacOS-da belə deyil. Unix bənzəri sistemlərdə sistemin müvəqqəti kataloqu həmin sistemdəki bütün istifadəçilər arasında paylaşılır. Buna görə də, bu kataloqa fayllar və kataloqlar yazıldıqda, onlar standart olaraq eyni sistemdəki digər istifadəçilər tərəfindən oxuna bilir. Bu zəiflik digər istifadəçilərə həmin kataloqların və ya faylların məzmununu dəyişdirməyə imkan vermir. Bu, sırf məlumat sızması (information disclosure) zəifliyidir. Müəyyən JDK fayl sistemi API-ları yalnız JDK 1.7-yə əlavə edildiyi üçün, bu düzəliş istifadə etdiyiniz JDK versiyasından asılıdır. Java 1.7 və daha yuxarı versiya istifadəçiləri üçün: bu zəiflik 4.5.0 versiyasında aradan qaldırılmışdır. Java 1.6 və daha aşağı versiya istifadəçiləri üçün: heç bir yamama mövcud deyil. Əgər yamama tətbiq edə bilmirsinizsə və ya Java 1.6-da qalmağa məcburunuzsa, java.io.tmpdir sistem mühit dəyişənini yalnız icraedici istifadəçiyə məxsus olan kataloqa təyin etmək bu zəifliyi yumşaldacaqdır.
Necə düzəltmək olar
- postgresql postgresql_jdbc_driver42.2.27, 42.3.8, 42.4.3 və ya daha yeni versiya
- org.postgresql:postgresql42.2.27, 42.3.8, 42.4.3, 42.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| postgresql postgresql_jdbc_driver | 42.2.0 ≤ v < 42.2.27, 42.3.0 ≤ v < 42.3.8, 42.4.0 ≤ v < 42.4.3, 42.5.0 | 42.2.27, 42.3.8, 42.4.3 |
| debian debian_linux | 10.0 | — |
| org.postgresql:postgresqlMaven | 42.2.0 ≤ v < 42.2.27, 42.3.0 ≤ v < 42.3.8, 42.4.0 ≤ v < 42.4.3, 42.5.0 ≤ v < 42.5.1 | 42.2.27, 42.3.8, 42.4.3, 42.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.