教育数字化知识图谱

漏洞概述

近日，安全研究人员披露了 PostgreSQL 提权代码执行漏洞（ CVE-2019-9193 ）的漏洞细节，具有数据库服务端文件读权限的攻击者利用此漏洞，可执行任意系统命令。

PostgreSQL 是一款功能强大的数据库软件，可运行在所有主流操作系统上，包括 Linux 、 Windows 、 Mac OS X 等。此次披露的漏洞存在于导入导出数据的命令 “COPY TO/FROM PROGRAM”” 中， “pg_read_server_files” 组内用户执行上述命令后，可获取数据库超级用户权限，从而执行任意系统命令。

影响范围

受影响版本： PostgreSQL >=9.3

解决建议

pg_read_server_files 、 pg_write_server_files 、 pg_execute_server_program 角色涉及到读写数据库服务端文件，权限较大，分配此角色权限给数据库用户时需谨慎考虑。

产品防护

目前官方暂无修复此漏洞的计划，绿盟科技网络入侵防护系统（ NIPS ）将于例行更新中发布针对此漏洞的防护规则，请相关用户关注，及时完成规则更新，以实现对此漏洞的防护。完成更新后，在系统默认规则库中查找规则编号： 41660 ，即可查询到对应的规则详情。

参考链接：

http://paper.tuisec.win/detail/66d2b3ec28c7239