PostgreSQL において COPY 文の権限設定不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2020.02.26(水)

PostgreSQL において COPY 文の権限設定不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

PostgreSQL に、遠隔から任意のコードの実行を強制することが可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
https://www.postgresql.org/
https://www.postgresql.org/ 全 1 枚 拡大写真
◆概要

 PostgreSQL に、遠隔から任意のコードの実行を強制することが可能となる脆弱性が報告されています。攻撃者が PostgreSQL のデータベースへのログインに成功してしまった場合、脆弱性を悪用することによりデータベースが稼働しているサーバに任意のコードを実行させることが可能となります。バージョンのアップデートや、アクセス制御の強化などにより対策してください。

◆分析者コメント

 脆弱性を悪用するには、対象の PostgreSQL へのログインに成功している必要があります。ログイン設定が甘い PostgreSQL の認証方法が辞書攻撃などにより特定されてしまった場合の他にも、PostgreSQL を用いるアプリケーションが侵入され設定情報などから認証情報が漏れることで連鎖的に侵入されてしまう可能性が考えられます。PostgreSQL を運用している場合は、ソフトウェアのバージョンを確認しアップデートにより対策するとともに、アクセス制御や認証情報を見直すことを推奨します。

◆深刻度(CVSS)
[CVSS v3]
7.2
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-9193&vector=AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

[CVSS v2]
9.0
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-9193&vector=(AV:N/AC:L/Au:S/C:C/I:C/A:C)

◆影響を受けるソフトウェア

 PostgreSQL のバージョンを 9.3 から 11.2 までが当該脆弱性の影響を受けます。

◆解説

 PostgreSQL に、権限の不備を悪用して遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 複数の製品にDLLハイジャックの脆弱性(トレンドマイクロ)

    複数の製品にDLLハイジャックの脆弱性(トレンドマイクロ)

  2. ホームセンターWebサイトが改ざん被害、別サイトへ誘導(ケーヨー)

    ホームセンターWebサイトが改ざん被害、別サイトへ誘導(ケーヨー)

  3. JR山手線で寝ている間にUSBメモリやノートPC置き引き(筑波大学附属高等学校)

    JR山手線で寝ている間にUSBメモリやノートPC置き引き(筑波大学附属高等学校)

  4. 「いちまさオンラインショップ」に不正アクセス、セキュリティコード含む約300件流出可能性(一正蒲鉾)

    「いちまさオンラインショップ」に不正アクセス、セキュリティコード含む約300件流出可能性(一正蒲鉾)

  5. NEC製のWi-Fiホームルータ製品に複数の脆弱性(JVN)

    NEC製のWi-Fiホームルータ製品に複数の脆弱性(JVN)

  6. CrowdStrike Blog:FANCY BEAR( APT28 )、ファンシーベアとは何者か?

    CrowdStrike Blog:FANCY BEAR( APT28 )、ファンシーベアとは何者か?

  7. gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

    gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

  8. 保有ドメインへ不正アクセス、迷惑メール送信の踏み台に(日本郵便)

    保有ドメインへ不正アクセス、迷惑メール送信の踏み台に(日本郵便)

  9. 教育メニューにNRIセキュアの「セキュアEggs」を追加(GSX)

    教育メニューにNRIセキュアの「セキュアEggs」を追加(GSX)

  10. 学生がUSBメモリ紛失、実習で作成した個人情報を保存(天使大学)

    学生がUSBメモリ紛失、実習で作成した個人情報を保存(天使大学)

ランキングをもっと見る