CVE-2024-7348
Açıklama
PostgreSQL'deki pg_dump bileşeninde bulunan bir Time-of-check Time-of-use (TOCTOU) yarış durumu (race condition), bir nesne oluşturucunun, genellikle süper kullanıcı olan ve pg_dump işlemini çalıştıran kullanıcı adına rastgele SQL fonksiyonları yürütmesine olanak tanır. Saldırı, başka bir ilişki türünün bir görünüm (view) veya yabancı tablo ile değiştirilmesini içerir. Saldırı için pg_dump'ın başlaması beklenmelidir ancak saldırgan açık bir işlem (transaction) tutuyorsa yarış durumunu kazanmak oldukça kolaydır. PostgreSQL 16.4, 15.8, 14.13, 13.16 ve 12.20 öncesindeki sürümler etkilenmektedir.
Nasıl düzeltilir
- postgresql postgresql12.20, 13.16, 14.13, 15.8, 16.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| postgresql postgresql | 12.0 ≤ v < 12.20, 13.0 ≤ v < 13.16, 14.0 ≤ v < 14.13, 15.0 ≤ v < 15.8, 16.0 ≤ v < 16.4 | 12.20, 13.16, 14.13, 15.8, 16.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.