CVE-2024-0985

Versões do PostgreSQL anteriores à 16.2

Versões do PostgreSQL anteriores à 15.6

Versões do PostgreSQL anteriores à 14.11

Versões do PostgreSQL anteriores à 13.14

Versões do PostgreSQL anteriores à 12.18

A vulnerabilidade está relacionada a uma perda tardia de privilégios na função REFRESH MATERIALIZED VIEW CONCURRENTLY do PostgreSQL, permitindo que o criador de um objeto execute funções SQL arbitrárias como o emissor do comando. Isso poderia permitir a execução de código malicioso com privilégios elevados, levando potencialmente a violações de dados e comprometimentos adicionais. O comando tem como objetivo executar funções SQL como proprietário da vista materializada, permitindo a atualização segura de vistas materializadas não confiáveis. O ataque requer induzir a vítima a executar REFRESH MATERIALIZED VIEW CONCURRENTLY na vista materializada do invasor. A vítima é normalmente um superusuário ou um membro de uma das funções do invasor.

Para versões anteriores à 16.2, atualize para a versão 16.2 ou posterior.

Para versões anteriores à 15.6, atualize para a versão 15.6 ou posterior.

Para versões anteriores à 14.11, atualize para a versão 14.11 ou posterior.

Para versões anteriores à 13.14, atualize para a versão 13.14 ou posterior.

Para versões anteriores à 12.18, atualize para a versão 12.18 ou posterior.

Como solução alternativa temporária, considere restringir o acesso à função REFRESH MATERIALIZED VIEW CONCURRENTLY até que um patch seja aplicado.