Dasjenige Bundesamt zu Gunsten von Sicherheit in dieser Informationstechnik (BSI) hat am 22.05.2024 ein Update zu einer am 19.02.2024 bekanntgewordenen Sicherheitslücke zu Gunsten von PostgreSQL JDBC Driver veröffentlicht. Betroffen von dieser Sicherheitslücke sind die Betriebssysteme Linux, UNIX und Windows sowie die Produkte Debian Linux, Red Hat Enterprise Linux, Fedora Linux, SUSE Linux, Oracle Linux, IBM QRadar SIEM, IBM Storage Scale, Red Hat OpenShift, RESF Rocky Linux, Open Source PostgreSQL, Atlassian Bamboo und Open Source Camunda.

Die neuesten Hersteller-Empfehlungen in Bezug auf Updates, Workarounds und Sicherheitspatches zu Gunsten von jene Sicherheitslücke finden Sie hier: Red Hat Security Advisory RHSA-2024:3313 (Stand: 23.05.2024). Weitere nützliche Sinister werden weiter unten in diesem Vorbehalt aufgeführt.

Sicherheitshinweis zu Gunsten von PostgreSQL JDBC Driver – Risiko: hoch

Risikostufe: 4 (hoch)
CVSS Kusine Score: 10,0
CVSS Zeitlich Score: 8,7
Remoteangriff: Ja

Zur Ordnung des Schweregrads von Schwachstellen in Computersystemen wird dasjenige Common Vulnerability Scoring System (CVSS) angewandt. Jener CVSS-Standard ermöglicht es, potenzielle oder tatsächliche Sicherheitslücken aufwärts Stützpunkt verschiedener Metriken miteinander zu vergleichen, um Gegenmaßnahmen besser vorziehen zu können. Für jedes die Schweregrade einer Schwachstelle werden die Attribute „keine“, „tief“, „mittel“, „hoch“ und „ungelegen“ verwendet. Jener Kusine Score bewertet die Voraussetzungen zu Gunsten von kombinieren Sturm (u.a. Authentifizierung, Varianz, Privilegien, Userinteraktion) sowie dessen Konsequenzen. Beim Zeitlich Score fließen darüber hinaus die Zeit veränderbare Rahmenbedingungen in die Ordnung ein. Die Gefährdung dieser hier behandelten Schwachstelle wird nachher dem CVSS mit einem Kusine Score von 10,0 denn „hoch“ eingestuft.

PostgreSQL JDBC Driver Programmfehler: Schwachstelle ermöglicht SQL-Injection

PostgreSQL ist eine uneingeschränkt verfügbare Datensammlung zu Gunsten von unterschiedliche Betriebssysteme.

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in PostgreSQL JDBC Driver ausnutzen, um eine SQL-Injection durchzuführen.

Klassifiziert wurde die Schwachstelle mithilfe des CVE-Bezeichnungssystems (Common Vulnerabilities and Exposures) durch die individuelle Seriennummer CVE-2024-1597.

Von dieser Sicherheitslücke betroffene Systeme im Zusammenfassung

Betriebssysteme
Linux, UNIX, Windows

Produkte
Debian Linux (cpe:/o:debian:debian_linux)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Fedora Linux (cpe:/o:fedoraproject:fedora)
SUSE Linux (cpe:/o:suse:suse_linux)
Oracle Linux (cpe:/o:oracle:linux)
IBM QRadar SIEM 7.5 (cpe:/a:ibm:qradar_siem)
IBM Storage Scale 5.1.x (cpe:/a:ibm:spectrum_scale)
Red Hat OpenShift Container Platform 4.10 (cpe:/a:redhat:openshift)
Red Hat OpenShift Container Platform 4.11 (cpe:/a:redhat:openshift)
Red Hat OpenShift Container Platform 4.12 (cpe:/a:redhat:openshift)
RESF Rocky Linux (cpe:/o:resf:rocky_linux)
Open Source PostgreSQL JDBC Driver <42.7.2 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL JDBC Driver <42.6.1 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL JDBC Driver <42.5.5 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL JDBC Driver <42.4.4 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL JDBC Driver <42.2.8 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL JDBC Driver <42.3.9 (cpe:/a:postgresql:postgresql)
Atlassian Bamboo <9.5.2 (cpe:/a:atlassian:bamboo)
Atlassian Bamboo <9.2.12 (cpe:/a:atlassian:bamboo)
Atlassian Bamboo <9.4.4 (cpe:/a:atlassian:bamboo)
Red Hat Enterprise Linux Quarkus 3.2.11 (cpe:/o:redhat:enterprise_linux)
Red Hat OpenShift Container Platform 4.9 (cpe:/a:redhat:openshift)
Open Source Camunda <7.19.12 (cpe:/a:camunda:camunda)
Open Source Camunda <7.20.5 (cpe:/a:camunda:camunda)
Open Source Camunda <7.21.0-alpha3 (cpe:/a:camunda:camunda)

Allgemeine Empfehlungen zum Umgang mit IT-Schwachstellen

1. Nutzer dieser betroffenen Anwendungen sollten jene aufwärts dem aktuellsten Stand halten. Hersteller sind unter Bekanntwerden von Sicherheitslücken dazu angehalten, jene schnellstmöglich durch Evolution eines Patches oder eines Workarounds zu beheben. Sollten Sicherheitspatches verfügbar sein, installieren Sie jene zeitnah.
2. Sich beraten lassen Sie zu Informationszwecken die im nächsten Unvollendetes aufgeführten Quellen. X-mal enthalten jene weiterführende Informationen zur aktuellsten Version dieser betreffenden Software sowie zur Verfügbarkeit von Sicherheitspatches oder Hinweise zu Workarounds.
3. Wenden Sie sich unter weiteren Fragen oder Unsicherheiten an Ihren zuständigen Administrator. IT-Sicherheitsverantwortliche sollten regelmäßig prüfen, zu welchem Zeitpunkt dasjenige herstellende Unternehmen ein neues Sicherheitsupdate zur Verfügung stellt.

Quellen zu Updates, Patches und Workarounds

An dieser Stelle entscheiden sich weiterführende Sinister mit Informationen darüber hinaus Programmfehler-Reports, Security-Fixes und Workarounds.

Red Hat Security Advisory RHSA-2024:3313 vom 2024-05-23 (22.05.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:3313

IBM Security Bulletin 7152260 vom 2024-05-15 (14.05.2024)
Weitere Informationen finden Sie unter: https://www.ibm.com/support/pages/node/7152260

Rocky Linux Security Advisory RLSA-2024:1436 vom 2024-05-10 (12.05.2024)
Weitere Informationen finden Sie unter: https://errata.build.resf.org/RLSA-2024:1436

Debian Security Advisory DLA-3812 vom 2024-05-10 (09.05.2024)
Weitere Informationen finden Sie unter: https://lists.debian.org/debian-lts-announce/2024/05/msg00007.html

IBM Security Bulletin 7150357 vom 2024-05-07 (06.05.2024)
Weitere Informationen finden Sie unter: https://www.ibm.com/support/pages/node/7150357

Camunda Security Notices vom 2024-05-03 (05.05.2024)
Weitere Informationen finden Sie unter: https://docs.camunda.org/security/notices/

Red Hat Security Advisory RHSA-2024:2624 vom 2024-04-30 (01.05.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:2624

Red Hat Security Advisory RHSA-2024:1999 vom 2024-04-23 (23.04.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1999

Red Hat Security Advisory RHSA-2024:1797 vom 2024-04-22 (22.04.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1797

Red Hat Security Advisory RHSA-2024:1686 vom 2024-04-04 (04.04.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1686

Red Hat Security Advisory RHSA-2024:1662 vom 2024-04-03 (03.04.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1662

Red Hat Security Advisory RHSA-2024:1649 vom 2024-04-02 (02.04.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1649

Rocky Linux Security Advisory RLSA-2024:1435 vom 2024-03-27 (26.03.2024)
Weitere Informationen finden Sie unter: https://errata.build.resf.org/RLSA-2024:1435

Oracle Linux Security Advisory ELSA-2024-1435 vom 2024-03-22 (21.03.2024)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2024-1435.html

Oracle Linux Security Advisory ELSA-2024-1436 vom 2024-03-20 (20.03.2024)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2024-1436.html

Red Hat Security Advisory RHSA-2024:1436 vom 2024-03-20 (19.03.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1436

Atlassian Security Advisory (19.03.2024)
Weitere Informationen finden Sie unter: https://jira.atlassian.com/browse/BAM-25716

Red Hat Security Advisory RHSA-2024:1435 vom 2024-03-20 (19.03.2024)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2024:1435

Fedora Security Advisory FEDORA-2024-ED884C3203 vom 2024-03-18 (18.03.2024)
Weitere Informationen finden Sie unter: https://bodhi.fedoraproject.org/updates/FEDORA-2024-ed884c3203

SUSE Security Update SUSE-SU-2024:0771-1 vom 2024-03-05 (05.03.2024)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2024-March/018096.html

SUSE Security Update SUSE-SU-2024:0773-1 vom 2024-03-05 (05.03.2024)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2024-March/018094.html

SUSE Security Update SUSE-SU-2024:0769-1 vom 2024-03-05 (05.03.2024)
Weitere Informationen finden Sie unter: https://lists.suse.com/pipermail/sle-security-updates/2024-March/018098.html

GitHub Advisory Database vom 2024-02-19 (19.02.2024)
Weitere Informationen finden Sie unter: https://github.com/advisories/GHSA-xfg6-62px-cxc2

NIST Vulnerability Database vom 2024-02-19 (19.02.2024)
Weitere Informationen finden Sie unter: https://nvd.nist.gov/vuln/detail/CVE-2024-1597

Versionshistorie dieser Sicherheitswarnung

Dies ist die 20. Version des vorliegenden IT-Sicherheitshinweises zu Gunsten von PostgreSQL JDBC Driver. Sollten weitere Updates bekanntgegeben werden, wird dieser Text aktualisiert. Änderungen oder Ergänzungen können Sie in dieser Versionshistorie nachlesen.

19.02.2024 – Initiale Steckdose
05.03.2024 – Neue Updates von SUSE aufgenommen
18.03.2024 – Neue Updates von Fedora aufgenommen
19.03.2024 – Neue Updates von Red Hat und Atlassian aufgenommen
20.03.2024 – Neue Updates von Oracle Linux aufgenommen
21.03.2024 – Neue Updates von Oracle Linux aufgenommen
26.03.2024 – Neue Updates von Rocky Enterprise Software Foundation aufgenommen
02.04.2024 – Neue Updates von Red Hat aufgenommen
03.04.2024 – Neue Updates von Red Hat aufgenommen
04.04.2024 – Neue Updates von Red Hat aufgenommen
22.04.2024 – Neue Updates von Red Hat aufgenommen
23.04.2024 – Neue Updates von Red Hat aufgenommen
01.05.2024 – Neue Updates von Red Hat aufgenommen
05.05.2024 – Neue Updates aufgenommen
06.05.2024 – Neue Updates von IBM aufgenommen
09.05.2024 – Neue Updates von Debian aufgenommen
12.05.2024 – Neue Updates von Rocky Enterprise Software Foundation aufgenommen
14.05.2024 – Neue Updates von IBM aufgenommen
22.05.2024 – Neue Updates von Red Hat aufgenommen
06.06.2024 – Korrektur

+++ Redaktioneller Kennziffer: Dieser Text wurde aufwärts Stützpunkt aktueller BSI-Wissen generiert und wird je nachher Warnlage datengetrieben aktualisiert. Feedback und Anmerkungen nehmen wir unter [email protected] entgegen. +++

Hören Sie News.de schon unter Facebook, Twitter, Pinterest und YouTube? Hier finden Sie brandheiße News, aktuelle Videos und den direkten Leiterbahn zur Redaktion.
kns/roj/news.de