Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация

Каталог уязвимостей - CVE - CVE-2024-7348

Сертификаты СЗИ
CVE уязвимости
БДУ ФСТЭК уязвимости
НКЦКИ уязвимости
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Каталоги Уязвимости - CVE CVE-2024-7348
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

CVE-2024-7348

PUBLISHED 22.08.2024

CNA: PostgreSQL

PostgreSQL relation replacement during pg_dump executes arbitrary SQL

Обновлено: 08.08.2024
Time-of-check Time-of-use (TOCTOU) race condition in pg_dump in PostgreSQL allows an object creator to execute arbitrary SQL functions as the user running pg_dump, which is often a superuser. The attack involves replacing another relation type with a view or foreign table. The attack requires waiting for pg_dump to start, but winning the race condition is trivial if the attacker retains an open transaction. Versions before PostgreSQL 16.4, 15.8, 14.13, 13.16, and 12.20 are affected.

CWE

Идентификатор Описание
CWE-367 CWE-367 Time-of-check Time-of-use (TOCTOU) Race Condition

БДУ ФСТЭК

Идентификатор Описание
BDU:2024-06153 Уязвимость утилиты pg_dump системы управления базами данных PostgreSQL, позволяющая нарушителю выполнять произвольный SQL-код

CVSS

Оценка Severity Версия Базовый вектор
8.8 HIGH 3.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Доп. Информация

Product Status

PostgreSQL
Product: PostgreSQL
Vendor: n/a
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 16 до 16.4 affected
Наблюдалось в версиях от 15 до 15.8 affected
Наблюдалось в версиях от 14 до 14.13 affected
Наблюдалось в версиях от 13 до 13.16 affected
Наблюдалось в версиях от 0 до 12.20 affected
 

Ссылки

https://www.postgresql.org/support/security/CVE-2024-7348/

CISA ADP Vulnrichment

Обновлено: 16.08.2024
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.

SSVC

Exploitation Automatable Technical Impact Версия Дата доступа
none no total 2.0.3 15.08.2024

CVE Program Container

Обновлено: 22.08.2024
SSVC and KEV, plus CVSS and CWE if not provided by the CNA.

Ссылки

http://www.openwall.com/lists/oss-security/2024/08/11/1
https://security.netapp.com/advisory/ntap-20240822-0002/
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.