Исходное описание
INSERT ... ON CONFLICT DO UPDATE commands in PostgreSQL 10.x before 10.1, 9.6.x before 9.6.6, and 9.5.x before 9.5.10 disclose table contents that the invoker lacks privilege to read. These exploits affect only tables where the attacker lacks full read access but has both INSERT and UPDATE privileges. Exploits bypass row level security policies and lack of SELECT privilege.
Затронутое ПО
- PostgreSQL = 9.5.6= 9.5.1= 9.6= 9.6.4= 9.6.3= 9.6.5 точное совпадение
Подробности
- Опубликовано
- 2017-11-23
- Последнее изменение
- 2024-09-17
- Вектор CVSS
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N- CWE
- CWE-200
Ссылки
- cve.org/CVE-2017-15099
- nvd.nist.gov/vuln/detail/CVE-2017-15099
- www.securityfocus.com/bid/101781
- access.redhat.com/errata/RHSA-2018:2511
- www.postgresql.org/support/security/
- www.securitytracker.com/id/1039752
- www.postgresql.org/about/news/1801/
- access.redhat.com/errata/RHSA-2018:2566
- www.debian.org/security/2017/dsa-4028
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.