Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

PostgreSQL 9.5

Betroffene Plattformen:

GNU/Linux

Zwei Schwachstellen in PostgreSQL ermöglichen einem entfernten, einfach
authentifizierten Angreifer das Ausspähen von Informationen, das Durchführen
von Denial-of-Service-Angriffen sowie das Umgehen von
Sicherheitsvorkehrungen und in der Folge die Manipulation von Daten.

Die PostgreSQL Global Development Group stellt ein Sicherheitsupdate auf die
Version 9.5.2 bereit, um die Schwachstellen zu beheben. Die Schwachstelle
CVE-2016-2193 betrifft nur Datenbanken, für die über ‘CREATE POLICY’ Row
Security Policies eingerichtet wurden. Die Schwachstelle CVE-2016-3065
betrifft nur Datenbanken, bei denen der Befehl ‘CREATE EXTENSION
pageinspect’ verwendet wurde.

Patch:

PostgreSQL Security Announcement

http://www.postgresql.org/support/security/

Patch:

PostgreSQL Security Update 9.5.2, 9.4.7, 9.3.12, 9.2.16, 9.1.21

http://www.postgresql.org/about/news/1656/

CVE-2016-3065: Schwachstelle in PostgreSQL ermöglicht Ausspähen von
Informationen und Denial-of-Service

Die Funktionen ‘brin_page_type’ und ‘brin_metapage_info’ im Modul
‘pageinspect’ von PostgreSQL ermöglichen die maschinennahe Analyse von
Inhalten von Speicherseiten der Datenbank (database pages). Es wird nicht
geprüft, ob die Funktionen von ‘superuser’ ausgeführt werden, wie für
Funktionen mit Eingangsparametern vom Typ ‘BYTEA’ üblich. Ein entfernter,
einfach authentifizierter Angreifer kann das mit Hilfe speziell präparierter
Daten ausnutzen, um, beginnend mit der Stelle, an der sich die
Eingangsparameter befinden, einige Kilobyte des Server-Speichers auszulesen.
Außerdem kann der Server-Prozess zum Absturz gebracht werden.

CVE-2016-2193: Schwachstelle in PostgreSQL ermöglicht Umgehen von
Sicherheitsvorkehrungen

PostgreSQL verwendet Row Security Policies als Privilegiensystem zusätzlich
zum SQL-Standard ‘GRANT’. Diese Methode erlaubt es, auf Benutzerebene
festzulegen, welche Datensätze durch normale Datenbankanfragen angezeigt
oder durch Datenmodifikationsbefehle verändert werden können. Eine für
bestimmte Benutzer oder Gruppen (ROLE-specific) vorbereitete Anfrage
(prepared statement, query plan) kann unter bestimmten Umständen von einer
anderen ROLE ausgeführt werden. Dabei werden die für die ursprüngliche ROLE
erstellten Row Security Policies übergangen, so dass ein entfernter, einfach
authentifizierter Angreifer Lese- und Schreibzugriff auf Daten erhalten
kann, die ihm sonst vorenthalten sind.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0530/

PostgreSQL Security Announcement:
http://www.postgresql.org/support/security/

Schwachstelle CVE-2016-2193 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2193

Schwachstelle CVE-2016-3065 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3065

PostgreSQL Security Update 9.5.2, 9.4.7, 9.3.12, 9.2.16, 9.1.21:
http://www.postgresql.org/about/news/1656/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.