CVE-2020-21469 並非安全漏洞

由 PostgreSQL 全球開發團隊於 2023-08-29 發布
PostgreSQL 專案 安全性

PostgreSQL 安全團隊已注意到 CVE-2020-21469,該漏洞是在 PostgreSQL 安全團隊不知情的情況下提交的。

這不是一個安全漏洞.

CVE聲稱可以透過向主要的 PostgreSQL 程序重複發送 SIGHUP(或重新載入)訊號,在 PostgreSQL 12.2 中創建阻斷服務(denial-of-service)。但是,要做到這一點,您需要擁有一個明確授予提升權限的帳戶,包括

  • PostgreSQL 超級使用者 (postgres)。
  • 被 PostgreSQL 超級使用者授予執行 pg_reload_conf 許可權的使用者。
  • 對具有權限的操作系統使用者之存取權

如果您仍然執行 PostgreSQL 12.2,我們強烈建議您升級到較新的版本,因為 這些實際的 CVE 以及許多其他的錯誤修復。

如果您懷疑 PostgreSQL 存在安全漏洞,請先向 PostgreSQL 安全團隊報告以進行評估。 PostgreSQL 安全團隊已維護其已知漏洞列表近 20 年。該團隊與所有報告者合作,以確定什麼是有效的漏洞,並為我們的使用者提供有關安全問題的透明度。

有關如何向 PostgreSQL 安全團隊報告安全漏洞以及團隊如何評估報告的更多資訊,請參閱安全性頁面

https://postgres.tw/support/security/