Wichtige Sicherheitsupdates sind für das Datenbanksystem PostgreSQL unter Windows bereitgestellt worden. Wenn das Rundherum passend ist, könnten Angreifer auf den Rechnern Schadcode mit Admin-Rechten ausführen.
Die Warnmeldung der Entwickler verdeutlicht das von der Sicherheitslücke (CVE-2020-10733) ausgehende Angriffsrisiko nicht wirklich. Diese Meldung liest sich eher so, als läge nur eine “hohe” Einstufung nahe.
Schadcode wird direkt im Verzeichnis abgelegt
Angreifer, die Zugriffsrechten auf bestimmte Ordner haben, könnten dort Schadcode abspeichern. Den würde der Installer dann wegen einer unzureichenden Prüfung auch wirklich ausführen. Problematisch ist dabei, dass der Installer Admin-Rechte besitzt. Man muss deshalb davon auszugehen, dass ein Rechner nach einem erfolgreichen Angriff auch vollständig kompromittiert ist.
Die bereinigten Versionen
Nach Angaben der PostgreSQL-Entwickler gibt es die Schwachstelle schon seit der PostgreSQL-Version 9.5. Die abgesicherten Ausgaben sind: 9.5.22, 9.6.18, 10.13, 11.8 und 12.3. Außer dieser Sicherheitslücke haben die Entwickler in allen aktuellen Versionen noch 75 weitere Bugs unschädlich gemacht.
