در PostgreSQL، افزونه‌ها ابزارهایی برای گسترش قابلیت‌ها و یک عامل اصلی برای محبوبیت آن به شمار می‌آیند. امروزه بیش از هزار افزونه برای Postgres در دسترس است که نشانگر انعطاف‌پذیری باورنکردنی معماری آن بوده و می‌توانند کاربردهای مختلفی داشته باشند. اما بدلیل این افزونه‌ها، پایگاه‌داده PostgreSQL در نسخه‌های 10.0 تا نسخه 10.21، نسخه 11.0 تا نسخه 11.16، نسخه 12.0 تا نسخه 12.11، نسخه 13.0 تا نسخه 13.7 و از نسخه 14.0 تا نسخه 14.4 یک آسیب‌پذیری با شدت بالا (8.0 از 10) دارد. در این آسیب‌پذیری، افزونه‌هایی که از دستور CREATE یا REPLACE استفاده می‌کنند و یک object همنام با objectهای موجود ایجاد کنند، Objectهای قبلی، بطور پیش فرض سطح دسترسی افزونه و object جدید را به ارث می‌برند. در نتیجه این امر، مجوزهای دسترسی Objectهای قبلی ارتقا می‌یابد که می‌تواند به شدت مشکل آفرین شود. بدین معنی که یک کاربر می‌تواند با ایجاد هدفمند یک object و سپس نصب یک افزونه ای که object همنام آن را دارد، سطح دسترسی object خود را ارتقا داده و به پایگاه داده دسترسی کامل پیدا نماید.
برای رفع این آسیب‌پذیری، نسخه‌های آسیب‌پذیر را به یکی از نسخه‌های 10.22، 11.17 ، 12.12، 13.8 و 14.5 ارتقا دهید.
منابع
https://nvd.nist.gov/vuln/detail/CVE-2022-2625#range-8251806'
- 92