CVE-2025-22248
Açıklama
bitnami/pgpool Docker imajı ve bitnami/postgres-ha k8s chart'ı, varsayılan yapılandırmalar altında, küme içindeki veritabanına kimlik doğrulaması olmadan erişime izin veren bir 'repmgr' kullanıcısıyla birlikte gelir. PGPOOL_SR_CHECK_USER, Pgpool'un kendisinin düğümlere karşı akış replikasyonu kontrolleri gerçekleştirmek için kullandığı kullanıcıdır ve trust seviyesinde olmamalıdır. Bu, repgmr kullanıcısı kullanılarak bir PostgreSQL veritabanına kimlik doğrulaması olmadan oturum açılmasına olanak tanır. Pgpool dışarıya açıksa, potansiyel bir saldırgan bu kullanıcıyı hizmete erişim elde etmek için kullanabilir. Bu durum bitnami/postgres-ha Kubernetes Helm chart'ında da mevcuttur.
Nasıl düzeltilir
- broadcom bitnami16.0.0 ya da sonraki bir sürüm
- broadcom bitnami\/pgpool4.6.0-1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom bitnami | v < 16.0.0 | 16.0.0 |
| broadcom bitnami\/pgpool | v < 4.6.0-1 | 4.6.0-1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.