Postgresql Security Fix? CVE-2024-10979 PostgreSQL PL/Perl environment variable changes execute arbitrary code

Question

Hallo, wenn ich das korrekt mitbekommen habe gab es eine größere Sicherheitslücke in Postgresql. Diese Lücke erlaubte unprivilegierten Datenbanknutzern Ausführung von beliebigem Code auf Zielrechnern. https://www.postgresql.org/support/security/CVE-2024-10979/ - es gibt von Postgresql auch schon einen Patch, der am 14.11.24 veröffentlicht wurde. Gibt es mit diesem Patch bereits ein Tomedo Server Update? Wo kann man die aktuell laufende Versionsnummer von Postgresql einsehen?

Answer 1

Hallo,

soweit ich die tomedoServerUtils:postgres:version.txt Datei auf meinem Intel-Server verstehe, ist Postgres aktuell für BigSur ff. gebaut und trägt die Version-Nr. 9.4. Wahrscheinlich sieht das bei Apple-Silizium und unter Linux anders aus.

Bei dem Zoo unterschiedlichster Konfigurationen dürfte das Ausnutzen dieser Lücke schon deshalb unmöglich sein. Mit freundlichen Grüßen aus dem wilden Harz

Answer 2

Hallo Herr Handwerker,

es steht ein Update der Postgres-Version ins Haus. Es sind schon Vorbereitungen getroffen, diese zeitnah in den Kundensystemen zu ermöglichen. Die Erhöhung der Postgres-Version ist nicht ganz trivial, vor allem für Multiserversysteme.

Wir werden das Postgres-Update nicht für alle Kunden zeitgleich anbieten, sondern schrittweise für mehr Praxen und mehr Praxen anbieten, um eventuelle Komplikationen und Randfälle, die unsere Testsysteme nicht abbilden können, zu entlarven.  

Ich denke, in den nächsten 2 Monaten wird ein Update im Bereich des Möglichen liegen.

Mit freundlichen Grüßen

P. Steinbach