CVE-2024-2338

PostgreSQL Anonymizer versão 1.2

O problema está relacionado a uma vulnerabilidade de injeção de SQL no PostgreSQL Anonymizer. Essa vulnerabilidade permite que um usuário proprietário de uma tabela eleve seus privilégios para superusuário quando o mascaramento dinâmico estiver ativado. O problema decorre de uma falha que permite que expressões complexas sejam fornecidas como um valor, o qual é posteriormente usado para criar visualizações mascaradas, levando à injeção de SQL. Se o mascaramento dinâmico estiver habilitado, isso resulta em escalonamento de privilégios para superusuário após a criação do rótulo. Usuários que não são proprietários de uma tabela, especialmente usuários mascarados, não podem explorar essa vulnerabilidade.

Para o PostgreSQL Anonymizer versão 1.2, atualize para a versão 1.3 para resolver o problema. Como solução temporária, considere desativar o mascaramento dinâmico até que a atualização seja aplicada. Restrinja o acesso à propriedade da tabela para minimizar o risco de exploração. Evite usar expressões complexas como valores para rótulos de segurança até que o problema seja resolvido.