Kritische Sicherheitslücken in PostgreSQL geschlossen

Updates für alle noch gepflegten Versionen

Die Entwickler des freien objektrelationalen Datenbank-Management-Systems PostgreSQL haben fünf von ihnen als kritisch eingestufte Sicherheitslücken geschlossen. Administratoren wird empfohlen, die Updates so schnell als möglich einzuspielen, auch wenn bisher kein Angriff über diese Anfälligkeiten in der Software bekannt wurde.

Artikel veröffentlicht am 8. Januar 2008, 10:36 Uhr, Julius Stiebert

Entdeckt wurden die fünf Sicherheitslecks bei Analysen der Software, ein Exploit ist nicht bekannt. Betroffen sind alle aktuellen PostgreSQL-Versionen, inklusive 8.2, 8.1, 8.0, 7.4 und 7.3.

Die "Expression Indexes" in PostgreSQL sind für zwei Angriffe anfällig, um die Rechte auszuweiten (CVE-2007-6600), so dass Funktionen als Administrator anstatt mit den Rechten des Tabellenbesitzers ausgeführt werden. Über reguläre Ausdrücke sind zudem Denial-of-Service-Angriffe auf den Datenbank-Server möglich (CVE-2007-4772, CVE-2007-6067, CVE-2007-4769). Zusätzlich lassen sich auch über die DBLink-Funktionen Administratorrechte erlangen (CVE-2007-6601).

Das Entwicklerteam empfiehlt, die Updates möglichst schnell zu installieren, da alle Sicherheitslücken als kritisch betrachtet werden. Die Patches sind abwärtskompatibel und beim Aktualisieren müssen die Daten nicht konvertiert werden.

Die Minor-Releases 8.2.6, 8.1.11, 8.0.15, 7.4.19 und 7.3.21 stehen im Quelltext sowie als Binary für einige Plattformen zum Download bereit.

Die Version 7.3.21 ist dabei das letzte Update für die über fünf Jahre alte Version 7.3. Ferner sind die Updates 8.1.11 und 8.0.15 die letzten Aktualisierungen für die Versionen 8.1 und 8.0, für die es auch Windows-Binarys gibt. Windows-Nutzer sind daher angehalten, mindestens die Version 8.2.6 zu installieren, da in der PostgreSQL 8.2 Windows-spezifische Fehlerkorrekturen stecken, die sich nicht auf die alten Versionen portieren lassen. Für andere Plattformen werden PostgreSQL 8.1 und 8.0 weiter unterstützt.