Im Open-Source-Datenbankserver PostgreSQL klaffen drei, durch die neue Version für alle unterstützten Versionszweige geschlossene, Sicherheitslücken.

Eine der Lücken kann missbraucht werden, um sich am Server ohne Angabe eines Passworts anzumelden und Zugriff auf Datenbanken zu bekommen. Der Fehler fußt in einem Bug in der C-Bibliothek libpq, die leere Passwörter so behandelt, als sei kein Passwort gesetzt. Diese Bibliothek ist die Basis vieler PostgreSQL-Datenbanktreiber. Wird allerdings ein nicht auf libpq basierender Treiber benutzt, kann der Bug missbraucht werden, um sich ohne Passwort anzumelden.

Unter bestimmten Umständen ermöglichen zwei weitere Lücken in der Software Nutzern den Zugriff auf Passwörter anderer Nutzer und das Schreiben in Datenobjekten, auf die sie eigentlich keinen Zugriff haben sollten. Mit den neuen Versionen PostgreSQL 9.6.4, 9.5.8, 9.4.13, 9.3.18 und 9.2.22 wurden diese drei und mehr als fünfzig weitere, nicht sicherheitskritische, Sicherheitslücken behoben. In der Release-Veröffentlichung der Entwickler finden sich weitere Informationen.

(mt, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE