Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2020-05467: Уязвимость компонента client системы управления базами данных PostgreSQL, позволяющая нарушителю реализовать атаку типа «человек посередине»

Описание уязвимости	Уязвимость компонента client системы управления базами данных PostgreSQL связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, реализовать атаку типа «человек посередине»
Вендор	Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Red Hat Inc., ООО «Ред Софт», PostgreSQL Global Development Group, АО «Концерн ВНИИНС», IBM Corp., АО "НППКТ", Postgres Professional
Наименование ПО	Debian GNU/Linux, Astra Linux Common Edition (запись в едином реестре российских программ №4433), Red Hat Enterprise Linux, РЕД ОС (запись в едином реестре российских программ №3751), Red Hat Software Collections, PostgreSQL, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177), IBM Security Access Manager, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913), Postgres Pro Certified
Версия ПО	9 (Debian GNU/Linux) 2.12 «Орёл» (Astra Linux Common Edition) 8 (Red Hat Enterprise Linux) 7.2 Муром (РЕД ОС) - (Red Hat Software Collections) до 9.5.24 (PostgreSQL) от 9.6.0 до 9.6.20 (PostgreSQL) от 10.0 до 10.15 (PostgreSQL) от 11.0 до 11.10 (PostgreSQL) от 12.0 до 12.5 (PostgreSQL) от 13.0 до 13.1 (PostgreSQL) 1.0 (ОС ОН «Стрелец») до 9.0.7.2-ISS-ISAM-IF0003 (IBM Security Access Manager) до 2.3 (ОСОН ОСнова Оnyx) до 11.11.1 (Postgres Pro Certified) до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО	Операционная система, Прикладное ПО информационных систем, СУБД, Программное средство защиты
Операционные системы и аппаратные платформы	Сообщество свободного программного обеспечения Debian GNU/Linux 9 ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл» (запись в едином реестре российских программ №4433) Red Hat Inc. Red Hat Enterprise Linux 8 ООО «Ред Софт» РЕД ОС 7.2 Муром (запись в едином реестре российских программ №3751) АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 (запись в едином реестре российских программ №6177) АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023 (запись в едином реестре российских программ №6177)
Тип ошибки	Использование криптографических алгоритмов, содержащих дефекты или риски, Выбор менее безопасного алгоритма в процессе согласования («Algorithm Downgrade»)
Идентификатор типа ошибки	CWE-327 CWE-757
Класс уязвимости	Уязвимость архитектуры
Дата выявления	12.11.2020
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:M/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для PostgreSQL: https://www.postgresql.org/support/security/ Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2020-25694 Для Postgres Pro Certified: https://postgrespro.ru/products/postgrespro/certified Для Astra Linux: Обновление программного обеспечения (пакета postgresql-9.6) до 9.6.20-0+deb9u1 или более поздней версии Для Debian GNU/Linux: https://lists.debian.org/debian-lts-announce/2020/12/msg00005.html Для программных продуктов IBM Corp.: https://www.ibm.com/support/pages/node/6502211 При невозможности выполнить обновление в качестве обходного пути можно отключить autovacuum и не запускать вручную операции ANALYZE, CLUSTER, REINDEX, CREATE INDEX, VACUUM FULL и REFRESH MATERIALIZED VIEW, а также не выполнять восстановление БД на основе вывода команды pg_dump. Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie Для ОСОН Основа: Обновление программного обеспечения postgresql-11 до версии 11.13+repack1-1.pgdg100+1+osnova2 Для ОС ОН «Стрелец»: Обновление программного обеспечения postgresql-9.6 до версии 9.6.24+repack1-1.pgdg90+1
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует
Способ эксплуатации	Нарушение аутентификации
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://access.redhat.com/security/cve/cve-2020-25694 https://lists.debian.org/debian-lts-announce/2020/12/msg00005.html https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie https://www.postgresql.org/support/security/ https://www.ibm.com/support/pages/node/6502211 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.3/ https://postgrespro.ru/products/postgrespro/certified https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2020-25694
Прочая информация	Данные уточняются

Последние изменения