CVE-2024-10978

Nome do software vulnerável e versões afetadas:

Versões do PostgreSQL anteriores à 17.1

Versões do PostgreSQL anteriores à 16.5

Versões do PostgreSQL anteriores à 15.9

Versões do PostgreSQL anteriores à 14.14

Versões do PostgreSQL anteriores à 13.17

Versões do PostgreSQL anteriores à 12.21

Descrição:

O problema decorre de uma atribuição incorreta de privilégios, permitindo que um usuário de aplicativo com menos privilégios visualize ou altere linhas diferentes daquelas pretendidas. Um ataque requer que o aplicativo utilize SET ROLE, SET SESSION AUTHORIZATION ou um recurso equivalente. O problema ocorre quando uma consulta do aplicativo utiliza parâmetros do invasor ou transmite resultados da consulta ao invasor, e reage a current setting(‘role’) ou ao ID do usuário atual. Isso pode fazer com que a consulta modifique ou retorne dados como se a sessão não tivesse usado SET ROLE ou SET SESSION AUTHORIZATION. O invasor não controla qual ID de usuário incorreta é aplicada.

Recomendações:

Para versões anteriores à 17.1, atualize para o PostgreSQL 17.1 ou posterior.

Para versões anteriores à 16.5, atualize para o PostgreSQL 16.5 ou posterior.

Para versões anteriores à 15.9, atualize para o PostgreSQL 15.9 ou posterior.

Para versões anteriores à 14.14, atualize para o PostgreSQL 14.14 ou posterior.

Para versões anteriores à 13.17, atualize para o PostgreSQL 13.17 ou posterior.

Para versões anteriores à 12.21, atualize para o PostgreSQL 12.21 ou posterior.

Como solução temporária, considere restringir o uso dos recursos SET ROLE e SET SESSION AUTHORIZATION até que um patch esteja disponível. Evite usar parâmetros de fontes não confiáveis no aplicativo