Seguridad TI: Linux, MacOS X y UNIX en riesgo - Actualización de información de seguridad TI para PostgreSQL (riesgo: medio)

El aviso de seguridad publicado para PostgreSQL recibió una actualización de BSI. Puedes aprender cómo deben comportarse los influencers aquí.

Oficina Federal de Seguridad en Tecnología de la Información (BSI) el 23 de diciembre de 2024 lanzó una actualización para PostgreSQL que se identificó el 8 de agosto de 2019 por un agujero de seguridad con múltiples vulnerabilidades. Sistemas operativos Linux, MacOS.

Las últimas recomendaciones del fabricante con respecto a actualizaciones, correcciones y parches de seguridad para esta vulnerabilidad se pueden encontrar aquí: Aviso de seguridad de Oracle Linux ELSA-2024-10882 (Al 24 de diciembre de 2024). Otros recursos útiles se enumeran más adelante en este artículo.

Para PostgreSQL - Riesgo: medio

Nivel de riesgo: 4 (medio)
Cláusula básica CVSS: 6.5
Puntuación provisional CVSS: 5,7
Ataque a distancia: Sí

El Sistema Común de Puntuación de Vulnerabilidad (CVSS) se utiliza para evaluar la vulnerabilidad de los sistemas informáticos. El estándar CVSS permite comparar vulnerabilidades de seguridad potenciales o reales en función de diferentes criterios para crear una lista de prioridades para la adopción de medidas. Los atributos "ninguno", "bajo", "moderado", "alto" y "crítico" se utilizan para definir los niveles de gravedad de la vulnerabilidad. Baseline mide los requisitos de un ataque (incluida la precisión, la complejidad, los privilegios y la interacción del usuario) y sus consecuencias. La dimensión temporal también tiene en cuenta los cambios en la situación de riesgo a lo largo del tiempo. Según CVSS, la gravedad de la vulnerabilidad actual se califica como "moderada" con una puntuación inicial de 6,5.

Error de PostgreSQL: claridad y números CVE

PostgreSQL es una base de datos gratuita para varios sistemas operativos.

Un atacante remoto y autenticado podría aprovechar varias vulnerabilidades en PostgreSQL para elevar privilegios, exponer información y manipular la configuración.

La vulnerabilidad está etiquetada con los números de serie únicos de vulnerabilidades y exposiciones comunes (CVE) CVE-2019-10208, CVE-2019-10209, CVE-2019-10210 y CVE-2019-10211.

Sistemas afectados por la vulnerabilidad PostgreSQL de un vistazo

sistemas operativos
Linux, MacOS X, UNIX, Windows

Productos
Debian Linux (cpe:/o:debian:debian_linux)
Amazon Linux 2 (cpe:/o:amazon:linux_2)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Ubuntu Linux (cpe:/o:canonical:ubuntu_linux)
SUSE Linux (cpe:/o:suse:suse_linux)
Oracle Linux (cpe:/o:oracle:linux)
Arch Linux de código abierto (cpe:/o:archlinux:archlinux)
PostgreSQL de código abierto <11.5 (cpe:/a:postgresql:postgresql)
Código abierto PostgreSQL 11.5 (cpe:/a:postgresql:postgresql)
PostgreSQL de código abierto <10.10 (cpe:/a:postgresql:postgresql)
Código abierto PostgreSQL 10.10 (cpe:/a:postgresql:postgresql)
PostgreSQL de código abierto <9.6.15 (cpe:/a:postgresql:postgresql)
Código abierto PostgreSQL 9.6.15 (cpe:/a:postgresql:postgresql)
PostgreSQL de código abierto <9.5.19 (cpe:/a:postgresql:postgresql)
Código abierto PostgreSQL 9.5.19 (cpe:/a:postgresql:postgresql)
PostgreSQL de código abierto <9.4.24 (cpe:/a:postgresql:postgresql)
Código abierto PostgreSQL 9.4.24 (cpe:/a:postgresql:postgresql)
EMC NetWorker <19.7.0.1 (cpe:/a:emc:networker)
EMC NetWorker 19.7.0.1 (cpe:/a:emc:networker)

Recomendaciones generales para abordar las vulnerabilidades de seguridad de TI

1. Los usuarios de las aplicaciones afectadas deben actualizarlas. Cuando se conocen agujeros de seguridad, los fabricantes deben solucionarlos lo más rápido posible mediante el desarrollo de un parche o solución. Si hay parches de seguridad disponibles, instálelos inmediatamente.
2. Para obtener información, consulte los recursos enumerados en la siguiente sección. Estos suelen incluir más información sobre la última versión del software en cuestión, así como la disponibilidad de parches de seguridad o consejos para la solución de problemas.
3. Si tiene más preguntas o inquietudes, comuníquese con su administrador responsable. Los responsables de seguridad de TI deben comprobar periódicamente cuándo la empresa fabricante proporciona una nueva actualización de seguridad.

Fuentes de actualizaciones, parches y correcciones

Aquí encontrará enlaces adicionales con información sobre informes de errores, correcciones de seguridad y soluciones.

Aviso de seguridad de Oracle Linux ELSA-2024-10882 2024-12-24 (23 de diciembre de 2024)
Puede encontrar más información aquí:

Consultoría de seguridad de Dell (12/09/2022)
Puede encontrar más información aquí:

Aviso de seguridad de Amazon Linux ALAS-2021-1665 2021-06-23 (23.06.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2021-9290 del 11 de junio de 2021 (13.06.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2021-1512 del 6 de mayo de 2021 (06/05/2021)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2021: 1512 2021-05-06 (05.05.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2021: 0166 2021-01-18 (18.01.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2021: 0167 2021-01-18 (18.01.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2021: 0164 2021-01-18 (17.01.2021)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2020-5619 del 23 de diciembre de 2020 (22 de diciembre de 2020)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2020: 5664 2020-12-22 (21 de diciembre de 2020)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2020: 5661 2020-12-22 (21 de diciembre de 2020)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2020: 5619 2020-12-17 (17 de diciembre de 2020)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2020: 4295 2020-10-21 (21 de octubre de 2020)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2020: 3669 2020-09-08 (09/07/2020)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2019: 2707-1 con fecha del 18 de octubre de 2019 (17.10.2019)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2019: 2158-1 con fecha del 7 de septiembre de 2019 (08.09.2019)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2019:2228-1 con fecha del 28 de agosto de 2019 (28.08.2019)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2019: 2159-1 con fecha del 22 de agosto de 2019 (21.08.2019)
Puede encontrar más información aquí:

Aviso de seguridad de Arch Linux ASA-201908-8 del 10 de agosto de 2019 (08.11.2019)
Puede encontrar más información aquí:

Aviso de seguridad de Arch Linux ASA-201908-7 del 10 de agosto de 2019 (08.11.2019)
Puede encontrar más información aquí:

Aviso de seguridad de Debian DSA-4492 del 8 de agosto de 2019 (08.08.2019)
Puede encontrar más información aquí:

Boletín de seguridad de Ubuntu USN-4090-1 del 9 de agosto de 2019 (08.08.2019)
Puede encontrar más información aquí:

Notas de la versión de PostgreSQL a partir del 2019-08-08 (08.08.2019)
Puede encontrar más información aquí:

La fecha de revisión de este aviso de seguridad.

Esta es la vigésima versión de esta versión de seguridad de TI de PostgreSQL. Esta publicación se actualizará cuando se anuncien más actualizaciones. Puede leer sobre los cambios o adiciones en el historial de esta versión.

08/08/2019 - Versión inicial
08/08/2019 - Se agregaron nuevas actualizaciones de Debian
11/08/2019 - Se han agregado nuevas actualizaciones para Arch Linux y Fedora
21 de agosto de 2019: se agregaron nuevas actualizaciones de SUSE
28/08/2019 - Se agregaron nuevas actualizaciones de SUSE
08/09/2019 - Se agregaron nuevas actualizaciones de SUSE
17 de octubre de 2019: se agregaron nuevas actualizaciones de SUSE
7 de septiembre de 2020: se agregaron nuevas actualizaciones de Red Hat
21 de octubre de 2020: se agregaron nuevas actualizaciones de Red Hat
17/12/2020: se agregaron nuevas actualizaciones de Red Hat
21/12/2020: se agregaron nuevas actualizaciones de Red Hat
22/12/2020: se agregaron nuevas actualizaciones de Oracle Linux
17/01/2021 - Se agregaron nuevas actualizaciones de Red Hat
18/01/2021 - Se agregaron nuevas actualizaciones de Red Hat
5 de mayo de 2021: se agregaron nuevas actualizaciones de Red Hat
6 de mayo de 2021: se agregaron nuevas actualizaciones de Oracle Linux
13 de junio de 2021: se agregaron nuevas actualizaciones de Oracle Linux
23 de junio de 2021: se agregaron nuevas actualizaciones de Amazon
12/09/2022: se agregaron nuevas actualizaciones de EMC
23/12/2024: se agregaron nuevas actualizaciones de Oracle Linux