CERTA-2010-AVI-214

Vulnerability from certfr_avis - Published: - Updated:

Des vulnérabilités multiples affectent PostgreSQL et permettent à un utilisateur malveillant d'exécuter du code arbitraire, de contourner la politique de sécurité ou d'élever ses privilèges.

Description

Plusieurs vulnérabilités sont présentes dans PostgreSQL :

  • Le module PL/Perl, s'il est installé et activé, peut permettre l'exécution de code PERL arbitraire sur le serveur ;
  • Le module PL/Tcl, s'il est installé et activé, peut permettre l'exécution de code Tcl arbitraire sur le serveur.

D'autres vulnérabilités non spécifiées affectent aussi les versions vulnérables de PostgreSQL.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Les versions 8.4.4, 8.3.11, 8.2.17, 8.1.21, 8.0.25 et 7.4.29 corrigent ces problèmes.

Les versions 7.4, 8.0, 8.1, 8.2, 8.3 et 8.4 de PostgreSQL sont affectées.

Impacted products
Vendor Product Description
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cp\u003eLes versions 7.4, 8.0, 8.1, 8.2, 8.3 et  8.4 de \u003cTT\u003ePostgreSQL\u003c/TT\u003e sont affect\u00e9es.\u003c/p\u003e",
  "content": "## Description\n\nPlusieurs vuln\u00e9rabilit\u00e9s sont pr\u00e9sentes dans PostgreSQL :\n\n-   Le module PL/Perl, s\u0027il est install\u00e9 et activ\u00e9, peut permettre\n    l\u0027ex\u00e9cution de code PERL arbitraire sur le serveur ;\n-   Le module PL/Tcl, s\u0027il est install\u00e9 et activ\u00e9, peut permettre\n    l\u0027ex\u00e9cution de code Tcl arbitraire sur le serveur.\n\nD\u0027autres vuln\u00e9rabilit\u00e9s non sp\u00e9cifi\u00e9es affectent aussi les versions\nvuln\u00e9rables de PostgreSQL.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation). Les versions 8.4.4, 8.3.11,\n8.2.17, 8.1.21, 8.0.25 et 7.4.29 corrigent ces probl\u00e8mes.\n",
  "cves": [
    {
      "name": "CVE-2010-1447",
      "url": "https://www.cve.org/CVERecord?id=CVE-2010-1447"
    },
    {
      "name": "CVE-2010-1169",
      "url": "https://www.cve.org/CVERecord?id=CVE-2010-1169"
    },
    {
      "name": "CVE-2010-1170",
      "url": "https://www.cve.org/CVERecord?id=CVE-2010-1170"
    }
  ],
  "links": [
    {
      "title": "Bulletins de s\u00e9curit\u00e9 Sun Solaris du 15 juillet 2010 :      \n 1",
      "url": "http://blogs.sun.com/security/entry/cve_2010_1169_cve_20101"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur PostgreSQL :",
      "url": "http://www.postgresql.org/about/news.1203"
    },
    {
      "title": "Bulletins de s\u00e9curit\u00e9 Sun Solaris du 15 juillet 2010 :      \n 1",
      "url": "http://blogs.sun.com/security/entry/cve_2010_1169_cve_2010"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Debian DSA-22051-1 du 24 mai 2010 :",
      "url": "http://www.debian.org/security/2010/dsa-2051"
    }
  ],
  "reference": "CERTA-2010-AVI-214",
  "revisions": [
    {
      "description": "version initiale ;",
      "revision_date": "2010-05-18T00:00:00.000000"
    },
    {
      "description": "ajout du bulletin de s\u00e9curit\u00e9 Debian ;",
      "revision_date": "2010-05-25T00:00:00.000000"
    },
    {
      "description": "ajout des bulletins de s\u00e9curit\u00e9 Sun Solaris.",
      "revision_date": "2010-07-15T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "\u00c9l\u00e9vation de privil\u00e8ges"
    }
  ],
  "summary": "Des vuln\u00e9rabilit\u00e9s multiples affectent PostgreSQL et permettent \u00e0 un\nutilisateur malveillant d\u0027ex\u00e9cuter du code arbitraire, de contourner la\npolitique de s\u00e9curit\u00e9 ou d\u0027\u00e9lever ses privil\u00e8ges.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans PostgreSQL",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Avis de s\u00e9curit\u00e9 de PostgreSQL du 14 mai 2010",
      "url": null
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Detection rules are retrieved from Rulezet.