PostgreSQL: Mehrere Schwachstellen
WID-SEC-2024-3475 · primera publicación 15.11.2024 · actualizado 22.10.2026 · CVSS 8,8
De qué se trata
PostgreSQL ist eine frei verfügbare Datenbank für unterschiedliche Betriebssysteme. Ein entfernter Angreifer kann mehrere Schwachstellen in PostgreSQL ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder vertrauliche Informationen preiszugeben.
¿En qué condiciones?
A través de la red.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Code auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren oder vertrauliche Informationen preiszugeben
¿Me afecta?
Afectados según el BSI:
- Debian Linux
- Amazon Linux 2
- Red Hat Enterprise Linux
- Ubuntu Linux
- SUSE Linux
- Oracle Linux
- Gentoo Linux
- IBM Business Automation Workflow
- SUSE openSUSE
- RESF Rocky Linux
- Broadcom Brocade SANnav
- Open Source PostgreSQL <17.1
y 20 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source PostgreSQL 17.1
- Open Source PostgreSQL 16.5
- Open Source PostgreSQL 15.9
- Open Source PostgreSQL 14.14
- Open Source PostgreSQL 13.17
- Open Source PostgreSQL 12.21
- IBM Storage Scale 6.1.9.5
- IBM Storage Scale 6.2.2.0
- IBM Sterling Connect:Direct 6.1.0.27
- IBM QRadar SIEM 7.5.0 UP11
- Progress Software WS_FTP 8.8.10
- Progress Software WS_FTP 9.0.1
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Oracle Linux Security Advisory ELSA-2024-10832 vom 2024-12-06 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2024-10785 vom 2024-12-06 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2024-10787 vom 2024-12-07 linux.oracle.com
- Gentoo Linux Security Advisory GLSA-202412-12 vom 2024-12-08 security.gentoo.org
- Oracle Linux Security Advisory ELSA-2024-10830 vom 2024-12-06 linux.oracle.com
- Red Hat Security Advisory RHSA-2024:10879 vom 2024-12-09 access.redhat.com
- Red Hat Security Advisory RHSA-2024:10882 vom 2024-12-09 access.redhat.com
- Rocky Linux Security Advisory RLSA-2024:10830 vom 2024-12-19 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2024:10785 vom 2024-12-19 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2024:10831 vom 2024-12-19 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2024:10788 vom 2024-12-19 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2024:10832 vom 2024-12-19 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2024:10787 vom 2024-12-19 errata.build.resf.org
- Oracle Linux Security Advisory ELSA-2024-10882 vom 2024-12-24 linux.oracle.com
- IBM Security Bulletin 7179045 vom 2024-12-16 www.ibm.com
- Amazon Linux Security Advisory ALASPOSTGRESQL13-2024-008 vom 2024-12-19 alas.aws.amazon.com
- Amazon Linux Security Advisory ALASPOSTGRESQL14-2024-015 vom 2024-12-19 alas.aws.amazon.com
- Amazon Linux Security Advisory ALASPOSTGRESQL14-2024-014 vom 2024-12-19 alas.aws.amazon.com
- Oracle Linux Security Advisory ELSA-2024-10791 vom 2024-12-11 linux.oracle.com
- PostgreSQL Release Notes vom 2024-11-14 www.postgresql.org
- PostgreSQL Security Advisory vom 2024-11-14 www.postgresql.org
- PostgreSQL Security Advisory vom 2024-11-14 www.postgresql.org
- PostgreSQL Security Advisory vom 2024-11-14 www.postgresql.org
- PostgreSQL Security Advisory vom 2024-11-14 www.postgresql.org
- Debian Security Advisory DSA-5812 vom 2024-11-16 lists.debian.org
y 60 fuentes más en el aviso original
CVE: CVE-2024-10976, CVE-2024-10977, CVE-2024-10978, CVE-2024-10979
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.