DFN-CERT-2013-0706 Mehrere Schwachstellen in PostgreSQL 9.1 [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket postgresql-9.1 in Debian GNU/Linux 7.0 (wheezy) vor Version
9.1.9-0wheezy1
Paket postgresql-9.1 in Debian GNU/Linux unstable (sid) vor Version 9.1.9-1

Betroffene Plattformen:

Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux unstable (sid)

Mehrere Schwachstellen in PostgreSQL kann ein entfernter, authentifizierter
Angreifer schlimmstenfalls zum Ausführen beliebiger Befehle ausnutzen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2013-1899: Schwachstelle in PostgreSQL

In PostgreSQL in den Versionen 9.2.x bis vor 9.2.4, 9.1.x bis vor 9.1.9 und
9.0.x bis vor 9.0.13 wird der Datenbankname bei einer Verbindungsanfrage
nicht ausreichend überprüft. Ein entfernter Angreifer kann mit einem
Datenbankname mit vorangestellten “-” (Bindestrich) Dateien der Datenbank
korrumpieren (Denial-of-Service), einem authentifizierten Angreifer ist es
darüber hinaus möglich, die Konfiguration zu ändern und beliebige Befehle
ausführen.

CVE-2013-1901: Schwachstelle in PostgreSQL

In PostgreSQL in den Versionen 9.2.x bis vor 9.2.4 und 9.1.x bis vor 9.1.9
wird die Berechtigung ‘REPLICATION’ nicht ausreichend überprüft. Ein
entfernter, authentifizierter Angreifer kann diese Schwachstelle mit den
Funktionen pg_start_backup und pg_stop_backup zur Umgehung von Backup
Beschränkungen ausnutzen.

CVE-2013-1900: Schwache Zufallszahlen in PostgreSQL

Das Modul contrib/pgcrypto des relationalen Datenbanksystems PostgreSQL
initialisiert seinen Zufallszahlengenerator in unsicherer Weise. Dieser wird
lediglich beim PostgreSQL Server Start initialisiert, nicht jedoch beim
forken von Kindprozessen, wenn der Server mit der Option ‘ssl=on’
konfiguriert wurde, eine eingehende Verbindung jedoch keine
SSL-Verschlüsselung verwendet. Hierdurch erzeugen bestimmte Funktionen des
pgcrypto-Moduls schwächere Ergebnisse. Ein authentifizierter Angreifer kann
diese leichter erraten und dies für weitere Angriffe ausnutzen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0706/

Das Hersteller Advisory:
http://www.debian.org/security/2013/dsa-2658

Schwachstelle CVE-2013-1899:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1899

Schwachstelle CVE-2013-1900:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1900

Schwachstelle CVE-2013-1901:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1901