Внедрение SQL-кода

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

PostgreSQL

PostgreSQL (7.3, 7.3.15, 7.4, 7.4.13, 8.0, 8.0.8, 8.1, 8.1.4)

PostgreSQL позволяет злоумышленникам обойти методы защиты от внедрения SQL-кода в приложениях, использующих многобайтовые кодировки и разрешающих, чтобы символ "\" (обратный слэш, код 0x5c) замыкал многобайтовый символ (например, SJIS, BIG5, GBK, GB18030 и UHC). Эта ситуация не может быть корректно обработана клиентом, не поддерживающим многобайтовых кодировок; данная уязвимость также известна как второй вариант уязвимости "Внедрение SQL-кода на основе кодировки". Замечание: принадлежность данной уязвимости к классу ошибок, возникающих при передаче данных между PostgreSQL и клиентом, может быть оспорена, однако ей был присвоен идентификатор в системе CVE, поскольку PostgreSQL считает это превентивной мерой, направленной на предотвращение возникновения проблем данного класса.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.postgresql.org/

MLIST ([pgsql-announce] 20060523 Security Releases for All Active Versions): http://archives.postgresql.org/pgsql-announce/2006-05/msg00010.php
http://www.postgresql.org/docs/techdocs.50
FRSIRT (ADV-2006-1941): http://www.frsirt.com/english/advisories/2006/1941
REDHAT (RHSA-2006:0526): http://www.redhat.com/support/errata/RHSA-2006-0526.html
BUGTRAQ (20060523 PostgreSQL security releases 8.1.4, 8.0.8, 7.4.13, 7.3.15): http://www.securityfocus.com/archive/1/archive/1/435038/100/0/threaded
BUGTRAQ (20060524 rPSA-2006-0080-1 postgresql postgresql-server): http://www.securityfocus.com/archive/1/archive/1/435161/100/0/threaded
UBUNTU (USN-288-1): http://www.ubuntulinux.org/support/documentation/usn/usn-288-1
BID (18092): http://www.securityfocus.com/bid/18092
SECTRACK (1016142): http://securitytracker.com/id?1016142
XF (postgresql-ascii-sql-injection(26628)): http://xforce.iss.net/xforce/xfdb/26628
XF (postgresql-multibyte-sql-injection(26627)): http://xforce.iss.net/xforce/xfdb/26627
DEBIAN (DSA-1087): http://www.debian.org/security/2006/dsa-1087
TRUSTIX (2006-0032): http://www.trustix.org/errata/2006/0032/
OSVDB (25731): http://www.osvdb.org/25731
MANDRIVA (MDKSA-2006:098): http://frontal2.mandriva.com/security/advisories?name=MDKSA-2006:098
SUSE (SUSE-SA:2006:030): http://lists.suse.com/archive/suse-security-announce/2006-Jun/0002.html
SGI (20060602-01-U): ftp://patches.sgi.com/support/free/security/advisories/20060602-01-U.asc
UBUNTU (USN-288-2): http://www.ubuntu.com/usn/usn-288-2
UBUNTU (USN-288-3): http://www.ubuntu.com/usn/usn-288-3
GENTOO (GLSA-200607-04): http://security.gentoo.org/glsa/glsa-200607-04.xml
SUSE (SUSE-SR:2006:021): http://www.novell.com/linux/security/advisories/2006_21_sr.html
http://support.avaya.com/elmodocs2/security/ASA-2006-113.htm