Bypass de permisos de lectura de archivos autenticado en EDB Postgres Advanced Server (EPAS) usando edbldr

Un atacante que explote esta vulnerabilidad podría obtener acceso no autorizado a archivos sensibles dentro del servidor de base de datos. Esto incluye información confidencial como contraseñas, claves de cifrado, datos de usuarios y configuraciones del sistema. La capacidad de leer estos archivos podría permitir al atacante escalar privilegios, comprometer la integridad de la base de datos e incluso obtener control sobre el servidor. Aunque la vulnerabilidad requiere el uso de edbldr, la facilidad con la que se puede eludir el control de acceso aumenta significativamente el riesgo de exposición de datos. La severidad de este impacto se agrava por la naturaleza crítica de los datos que suelen almacenar los servidores de bases de datos.

Organizations running EnterpriseDB Postgres Advanced Server in production environments, particularly those utilizing edbldr for database administration tasks, are at risk. Environments with less stringent access controls and those running older, unpatched versions of EPAS are especially vulnerable. Shared hosting environments using EPAS also face increased risk due to the potential for cross-tenant exploitation.

• postgresql: Use psql -c "SELECT version();" to verify the EPAS version. If it's below 16.3.0, the system is vulnerable. • linux / server: Examine auditd logs for edbldr process executions with unusual user contexts.

auditd -l | grep edbldr

• generic web: Monitor access logs for requests to files that should be protected by role-based access controls, especially those accessed via edbldr.

1. 2024-05-09Disclosure

   disclosure

1. Reservado2024-05-06
2. Publicada2024-05-09
3. Modificada2024-08-01
4. EPSS actualizado2026-04-02

La solución principal es actualizar a la versión 16.3.0 de EnterpriseDB Postgres Advanced Server, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de mitigación temporales. Restrinja el acceso a la herramienta edbldr solo a usuarios autorizados y con privilegios mínimos necesarios. Revise y endurezca los permisos de pgreadserver_files para limitar el acceso a los archivos críticos. Implemente reglas en un firewall de aplicaciones web (WAF) para detectar y bloquear intentos de explotación. Monitoree los registros del servidor de base de datos en busca de actividad sospechosa relacionada con edbldr o accesos no autorizados a archivos. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando los permisos de acceso a los archivos sensibles.