Datenbanksystem PostgreSQL: Schlupfloch macht Angreifer zum Admin
Angreifer könnten aus PostgreSQL heraus beliebigen Code in Linux, macOS und Windows ausführen.
(Bild: TheDigitalArtist Pixabay)
Aufgrund eines standardmäßig aktiven "Features" kommt es beim freien Datenbankmanagementsystem PostgreSQL offenbar zu Problemen bei der Rechtevergabe. Angreifer könnte über die Schwachstelle (CVE-2019-9193) unter gewissen Umständen Schadcode mit weitreichenden Systemrechten ausführen. Das CERT-Bund vom BSI stuft das Risiko mit "hoch" ein.
PostgreSQL unterscheidet in einem bestimmten Rahmen nicht zwischen den Rechten eines Superusers innerhalb der Datenbank und dem beim Betriebssystem angemeldeten Nutzer. So könnte ein lokaler Angreifer beispielsweise unter macOS Code mit Admin-Rechten ausführen.
Das liegt an der werksseitig eingeschalteten Funktion COPY TO/FROM PROGRAM. Diese erlaubt es einem Superuser und allen Nutzern in der pg_read_server_files-Gruppe beliebigen Code im Kontext des Betriebssystems auszuführen. Davor warnt ein Sicherheitsforscher in einem Beitrag. Dort findet man weitere Details zur möglichen Ausnutzung.
Workaround
Davon sind die Versionen 9.3 bis einschließlich 11.2 betroffen. Ob es ein Sicherheitsupdate geben wird, ist bislang unklar. Wer das Datenbanksystem nutzt, kann die Funktion aus Sicherheitsgründen deaktivieren.
[UPDATE, 04.04.2019 08:40 Uhr]
PostgreSQL-Entwickler Magnus Hagander schreibt in einem Beitrag, dass es sich dabei um keine Schwachstelle handelt und das Feature wie gewollt funktioniert. Vielmehr verweist er darauf, dass Nutzer verantwortungsvoll mit Superuser-Rechten umgehen sollten, um so etwaige Sicherheitsprobleme vorzubeugen. (des)
