Dies Bundesamt zu Gunsten von Sicherheit in welcher Informationstechnik (BSI) hat am 23.12.2024 ein Update zu einer am 04.04.2013 bekanntgewordenen Sicherheitslücke mit mehreren Schwachstellen zu Gunsten von PostgreSQL veröffentlicht. Betroffen von welcher Sicherheitslücke sind die Betriebssysteme Linux, MacOS X, UNIX und Windows sowie die Produkte Ubuntu Linux, Debian Linux, Open Source PostgreSQL und Oracle Linux.

Die neuesten Hersteller-Empfehlungen diesbezüglich Updates, Workarounds und Sicherheitspatches zu Gunsten von sie Sicherheitslücke finden Sie hier: Oracle Linux Security Advisory ELSA-2024-10882 (Stand: 24.12.2024). Weitere nützliche Quellen werden weiter unten in diesem Handelsgut aufgeführt.

Mehrere Schwachstellen zu Gunsten von PostgreSQL – Risiko: mittel

Risikostufe: 4 (mittel)
CVSS Cousine Score: 7,3
CVSS Zeitlich Score: 6,4
Remoteangriff: Ja

Zur Einschätzung des Schweregrads von Sicherheitsanfälligkeiten in Computersystemen wird dies Common Vulnerability Scoring System (CVSS) angewandt. Welcher CVSS-Standard ermöglicht es, potenzielle oder tatsächliche Sicherheitslücken aufwärts Grund verschiedener Kriterien miteinander zu vergleichen, um Gegenmaßnahmen besser vorziehen zu können. Zu Gunsten von die Schweregrade einer Schwachstelle werden die Attribute „keine“, „tief“, „mittel“, „hoch“ und „ungelegen“ verwendet. Welcher Cousine Score bewertet die Voraussetzungen zu Gunsten von verschmelzen Übergriff (u.a. Authentifizierung, Varianz, Privilegien, Userinteraktion) sowie dessen Konsequenzen. Beim Zeitlich Score fließen droben die Zeit veränderbare Rahmenbedingungen in die Priorisierung ein. Dies Risiko welcher aktuellen Schwachstelle wird nachher dem CVSS mit einem Cousine Score von 7,3 denn „mittel“ eingestuft.

PostgreSQL Programmfehler: Erklärung des Angriffs

PostgreSQL ist eine uneingeschränkt verfügbare elektronischer Karteikasten zu Gunsten von unterschiedliche Betriebssysteme.

Ein entfernter, anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in PostgreSQL ausnutzen, um Sicherheitsfunktionen zu umgehen, um seine Privilegien zu erweitern oder um Datenmaterial zu verdecken oder offenzulegen.

Die Verwundbarkeit wird mit den eindeutigen CVE-Identifikationsnummern (Common Vulnerabilities and Exposures) CVE-2013-1899, CVE-2013-1900, CVE-2013-1901, CVE-2013-1903 und CVE-2013-1902 gehandelt.

Von welcher PostgreSQL-Sicherheitslücke betroffene Systeme im Gesamtschau

Betriebssysteme
Linux, MacOS X, UNIX, Windows

Produkte
Ubuntu Linux 10.04 LTS (cpe:/o:canonical:ubuntu_linux)
Ubuntu Linux 8.04 LTS (cpe:/o:canonical:ubuntu_linux)
Ubuntu Linux 11.10 (cpe:/o:canonical:ubuntu_linux)
Ubuntu Linux 12.04 LTS (cpe:/o:canonical:ubuntu_linux)
Ubuntu Linux 12.10 (cpe:/o:canonical:ubuntu_linux)
Debian Linux Squeeze (6.0) (cpe:/o:debian:debian_linux)
Open Source PostgreSQL 8.4.x <8.4.17 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 8.4.x 8.4.17 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.0.x <9.0.13 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.0.x 9.0.13 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.1.x <9.1.9 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.1.x 9.1.9 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.2.x <9.2.4 (cpe:/a:postgresql:postgresql)
Open Source PostgreSQL 9.2.x 9.2.4 (cpe:/a:postgresql:postgresql)
Oracle Linux (cpe:/o:oracle:linux)

Allgemeine Maßnahmen zum Umgang mit IT-Sicherheitslücken

1. Computer-Nutzer welcher betroffenen Anwendungen sollten sie aufwärts dem aktuellsten Stand halten. Hersteller sind c/o Bekanntwerden von Sicherheitslücken dazu angehalten, sie schnellstmöglich durch Erfindung eines Patches oder eines Workarounds zu beheben. Sollten neue Sicherheitsupdates verfügbar sein, installieren Sie sie zeitnah.
2. Sich beraten lassen Sie zu Informationszwecken die im nächsten Segment aufgeführten Quellen. Vielmals enthalten sie weiterführende Informationen zur aktuellsten Version welcher betreffenden Software sowie zur Verfügbarkeit von Sicherheitspatches oder Hinweise zu Workarounds.
3. Wenden Sie sich c/o weiteren Fragen oder Unsicherheiten an Ihren zuständigen Administrator. IT-Sicherheitsverantwortliche sollten die genannten Quellen regelmäßig daraufhin prüfen, ob ein neues Sicherheitsupdate zur Verfügung steht.

Hersteller-Informationen zu Updates, Patches und Workarounds

An dieser Stelle Ergehen sich weiterführende Sinister mit Informationen droben Programmfehler-Reports, Security-Fixes und Workarounds.

Oracle Linux Security Advisory ELSA-2024-10882 vom 2024-12-24 (23.12.2024)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2024-10882.html

SUSE Security Update SUSE-SU-2013:0633-2 vom 2013-04-23 (23.04.2013)
Weitere Informationen finden Sie unter: https://www.suse.com/support/update/announcement/2013/suse-su-20130633-2.html

Blogeintrag „Dissecting PostgreSQL CVE-2013-1899“ vom 2013-04-10 (10.04.2013)
Weitere Informationen finden Sie unter: http://blog.blackwinghq.com/2013/04/08/2/

SUSE Security Update SUSE-SU-2013:0633-1 vom 2013-04-05 (07.04.2013)
Weitere Informationen finden Sie unter: https://www.suse.com/support/update/announcement/2013/suse-su-20130633-1.html

Ubuntu Security Notice USN-1789-1 vom 2013-04-04 (04.04.2013)
Weitere Informationen finden Sie unter: http://www.ubuntu.com/usn/usn-1789-1/

Debian Security Advisory DSA-2658-1 vom 2013-04-04 (04.04.2013)
Weitere Informationen finden Sie unter: http://www.debian.org/security/2013/dsa-2658

Debian Security Advisory DSA-2657-1 vom 2013-04-04 (04.04.2013)
Weitere Informationen finden Sie unter: http://www.debian.org/security/2013/dsa-2657

PostgreSQL 9.2.4, 9.1.9, 9.0.13 und 8.4.17 veröffentlicht vom 2013-04-04 (04.04.2013)
Weitere Informationen finden Sie unter: http://www.postgresql.org/about/news/1456/

Versionshistorie dieses Sicherheitshinweises

Dies ist die 7. Version des vorliegenden IT-Sicherheitshinweises zu Gunsten von PostgreSQL. Für Veröffentlichung weiterer Updates wird dieser Text aktualisiert. Änderungen oder Ergänzungen können Sie in dieser Versionshistorie nachlesen.

04.04.2013 – Initial Release
04.04.2013 – Version nicht vorhanden
07.04.2013 – New remediations available
07.04.2013 – Version nicht vorhanden
07.04.2013 – Version nicht vorhanden
23.04.2013 – New remediations available
23.12.2024 – Neue Updates von Oracle Linux aufgenommen

+++ Redaktioneller Rauchzeichen: Dieser Text wurde aufwärts Grund aktueller BSI-Datenmaterial generiert und wird je nachher Warnlage datengetrieben aktualisiert. Feedback und Anmerkungen nehmen wir unter [email protected] entgegen. +++

Nachstellen Sie News.de schon c/o Facebook, Twitter, Pinterest und YouTube? Hier finden Sie brandheiße News, aktuelle Videos und den direkten Kabel zur Redaktion.
kns/roj/news.de