Heimdall Security Logo

CVE-2018-1053

Vulnérabilité non évaluée dans postgresql (The PostgreSQL Global Development Group)

CVSS 0.0 · Non évaluée
EPSS 0.5%
The PostgreSQL Global Development Group•postgresql•Versions : 10.x before 10.2, 9.5.x before 9.5.11, 9.3.x before 9.3.21, 9.4.x before 9.4.16, 9.6.x before 9.6.7

Description

In postgresql 9.3.x before 9.3.21, 9.4.x before 9.4.16, 9.5.x before 9.5.11, 9.6.x before 9.6.7 and 10.x before 10.2, pg_upgrade creates file in current working directory containing the output of `pg_dumpall -g` under umask which was in effect when the user invoked pg_upgrade, and not under 0077 which is normally used for other temporary files. This can allow an authenticated attacker to read or modify the one file, which may contain encrypted or unencrypted database passwords. The attack is infeasible if a directory mode blocks the attacker searching the current working directory or if the prevailing umask blocks the attacker opening the file.

Gravité et risque d'exploitation

CVE-2018-1053 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.48 %, ce qui la place devant 40.2 % des CVE référencées.

Que faire ?

  • Vérifiez si postgresql (versions 10.x before 10.2, 9.5.x before 9.5.11, 9.3.x before 9.3.21, 9.4.x before 9.4.16, 9.6.x before 9.6.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE