#آسیب‌پذیری چندگانه SQL injection در PostgreSQL کشف شده است که می‌تواند موجب اجرای کد دلخواه شود. این آسیب‌پذیری‌ها نتیجه عدم بررسی قواعد ورودی ایجاد شده توسط کاربر قبل از استفاده از آن در یک کوئیری SQL می‌باشد. این آسیب‌پذیری‌ها به مهاجمان اجازه می‌دهند تا مجوز CREATE (یا مجوز Trigger در بعضی جداول) را برای سوءاستفاده از آسیب‌پذیری‌های قواعد ورودی در توابع pg_upgrade و pg_dump داشته باشند.
مجوز CREATE به طور خودکار به کاربران جدید در شمای عمومی داده می‌شود و این شما به صورت پیش‌فرض شمای مورد استفاده در این پایگاه داده است.
بهره‌برداری موفق از این آسیب‌پذیری‌ها می‌تواند به مهاجم اجازه دهد دستورات SQL دلخواهی را اجرا کند که می‌تواند به برنامه‌های کاربردی آسیب برساند، به داده‌ها دسترسی داشته باشد یا آنها را تغییر دهد و یا از آسیب‌پذیری‌های دیگری در پایگاه‌داده بهره‌برداری نماید.
نسخه‌های قبل از 11.6 و 10.6 برنامه PostgreSQL تحت‌تأثیر این آسیب‌پذیری‌ها قرار دارند.
توصیه‌ها
• به‌روزرسانی ارائه شده توسط PostgreSQL را سریعاً نصب کنید.
• قبل از اعمال وصله‌ها از عدم وجود تغییرات سیستمی غیر مجاز اطمینان حاصل کنید.
• نظارت بر سیستم‌های تشخیص نفوذ برای هر نشانه‌ای از فعالیت‌های غیرعادی.
• به غیر از موارد لازم، محدود کردن دسترسی از خارج شبکه به محصولات آسیب‌دیده.
منابع:
1- PostgreSQL:
https://www.postgresql.org/message-id/15440-02d1468e94d63d76@postgresql.org
2- Redhat:
https://bugzilla.redhat.com/show_bug.cgi?id=1645937
3- CVE:
https://access.redhat.com/security/cve/cve-2018-16850
- 9