EDB Postgres Advanced Server (EPAS) geauthenticeerde bestand lezen permissie omzeiling met edbldr

Een succesvolle exploitatie van deze kwetsbaarheid stelt een aanvaller in staat om gevoelige bestanden te lezen die normaal beschermd zouden moeten zijn. Dit kan omvatten configuratiebestanden, wachtwoorden, of andere vertrouwelijke gegevens die op de server zijn opgeslagen. De impact kan variëren afhankelijk van de aard van de bestanden die toegankelijk zijn, maar kan in het ergste geval leiden tot volledige controle over de server. Het is vergelijkbaar met scenario's waarin misconfiguraties leiden tot ongeautoriseerde toegang tot gevoelige data, maar hier wordt de toegang verkregen door een specifieke tool en omzeiling van toegangscontroles.

Organizations running EnterpriseDB Postgres Advanced Server in production environments, particularly those utilizing edbldr for database administration tasks, are at risk. Environments with less stringent access controls and those running older, unpatched versions of EPAS are especially vulnerable. Shared hosting environments using EPAS also face increased risk due to the potential for cross-tenant exploitation.

• postgresql: Use psql -c "SELECT version();" to verify the EPAS version. If it's below 16.3.0, the system is vulnerable. • linux / server: Examine auditd logs for edbldr process executions with unusual user contexts.

auditd -l | grep edbldr

• generic web: Monitor access logs for requests to files that should be protected by role-based access controls, especially those accessed via edbldr.

1. 2024-05-09Disclosure

   disclosure

1. Gereserveerd2024-05-06
2. Gepubliceerd2024-05-09
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden van EDB Postgres Advanced Server naar versie 16.3.0 of hoger. Indien een upgrade momenteel niet mogelijk is, overweeg dan het beperken van de rechten van de edbldr gebruiker. Controleer de configuratie van pgreadserver_files en zorg ervoor dat deze alleen toegang verleent aan de noodzakelijke gebruikers. Monitor de edbldr logs op verdachte activiteit. Na de upgrade, verifieer de correcte werking van de server en de toegangsrechten door te proberen bestanden te lezen met een gebruiker die normaal geen toegang zou moeten hebben.