Bezpečnostní problém CVE-2018-1058 v PostgreSQL (diskuse)

[Lyco]

Pozor, CVE-2018-1058 není v tomhle releasu řešeno patchem, ale jen dokumentací problému!

CVE-2018-1058 je v podstatě konfigurační chyba, ekvivalent shellového

# root:
mkdir /public
chmod 777 /public
export PATH=/public:...

# user:
echo "give_root_to_user" > /public/ls
chmod 555 /public/ls

# root:
ls ~ #PWNED!

Tedy, jedná se o konfigurační chybu, a DB funguje jak má. Problém je jen v tom, že ta první část (veřejné schéma které může překrýt systémové funkce) je default. Jen je to chování nečekané, takže je dokumentují.

[MP]

A proc to rovnou nepatchli? Protoze pak je ten update k h... kdyz i pro nove instalace se to musi udelat rucne.

[okbob]

Popisovaná chyba je aplikační - tudíž nemůže být fixnutá v Postgresu. Jediné, co vývojáři mohou udělat, je přidat popis a zdůraznit ji. Navíc se nejedná o nic nového. Doporučení nastavit explicitně search_path, případně dropnout public jsou známá více-méně od zavedení schématů.

[trekker.dk]

Dodneška jsem nepochopil, k čemu je to schéma public vlastně dobré. Teda kromě toho, abych měl práci navíc, když po vytvoření databáze zapomenu vytvořit svoje schéma a public smazat.

[okbob]

"public" schéma je jednak pomůcka pro vývojáře, kteří nepoužívali a nepoužívají schémata (a nemají žádné zkušenosti s konceptem schémat). Aby se mohli přihlásit a třeba vytvořit tabulku, aniž by si museli explicitně grantovat práva, atd. Berte to tak, že pro Postgres je konkurentem MySQL, MariaDB, kde schémata nejsou - a pro některé uživatele mysql byl přechod na PG komplikovaný, protože se nepřihlásili pod rootem, a být tam ještě komplikace se schématy, tak už by PG totálně zavrhli jako extrémně komplikovanou db. Druhak - public schéma posloužilo při migraci z verzí, kde PostgreSQL schémata ještě nepodporovalo. Public schéma umožňuje zamaskovat, že používáte schémata (tím se vyřešil problém, že každý objekt musí být ve schématu).

Pokud nechcete používat schéma "public", tak mu buďto seberte práva, čímž jej sanitizujete, případně můžete změnit defaultní search_path, nebo jej dropněte v template1.

[trekker.dk]

Njn, jako člověk nepoznamenaný MySQL tuhle kompatibilitu, která mi přidělává práci, holt moc neocením...