独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月6日、PostgreSQL 拡張モジュール pg_ivm における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


pg_ivm 1.5.1 より前のバージョン

　PostgreSQL にマテリアライズド・ビューの増分ビューメンテナンス機能を提供するIVM Development Group の拡張モジュール pg_ivm には、次のような影響を受ける可能性がある複数の脆弱性が存在する。

・情報漏えい（CVE-2023-22847）
→行レベルセキュリティで保護されているテーブル内の情報が本来アクセス権限のないユーザに漏えいする

・関数検索パスの制御不備（CVE-2023-23554）
→攻撃者が用意した任意の関数がマテリアライズド・ビュー所有者の権限で実行される

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお、本脆弱性は pg_ivm 1.5.1 で修正されている。

元の記事を読む

編集部おすすめ