CVE-2023-25149

Açıq mənbəli zaman seriyalı SQL verilənlər bazası olan TimescaleDB-nin 2.8.0 və 2.9.2 versiyaları arasında imtiyazların yüksəldilməsi zəifliyi mövcuddur. Quraşdırma zamanı TimescaleDB quraşdıran istifadəçi kimi işləyən telemetriya tapşırığı yaradır. Telemetriya məlumatlarının toplanması hissəsində icra edilən sorğular məhdudlaşdırılmış `search_path` ilə işləmir, bu da bədniyyətli istifadəçilərə telemetriya tapşırığı tərəfindən icra olunacaq funksiyalar yaratmağa imkan verir ki, bu da imtiyazların yüksəldilməsinə gətirib çıxarır. Bu zəiflikdən istifadə etmək üçün istifadəçi verilənlər bazasında obyektlər yarada bilməli və daha sonra superistifadəçinin onların verilənlər bazasına TimescaleDB quraşdırmasını təmin etməlidir. TimescaleDB etibarlı genişlənmə (trusted extension) kimi quraşdırıldıqda, superistifadəçinin köməyi olmadan qeyri-superistifadəçilər də genişlənməni quraşdıra bilərlər. Versiya 2.9.3 bu problemi aradan qaldırır. Təhlükəsizlik tədbiri olaraq, telemetriya tapşırığını işlədən istifadəçinin `search_path`-i digər istifadəçilər tərəfindən yazıla bilən sxemləri əhatə etməmək üçün məhdudlaşdırıla bilər. Həmin platformalarda tətbiq olunan əlavə təhlükəsizlik tədbirləri səbəbindən bu zəiflik Timescale Cloud və Managed Service for TimescaleDB nümunələrində istismar edilə bilməz.