एक भेद्यता के बारे में जो नहीं है

मार्च 2019 के अंत में, साइबर स्पेस और खतरे की सुरक्षा सेवाओं में लगी अमेरिकी कंपनी ट्रस्टवेव ने पोस्टग्रेक्विस डीबीएमएस में एक भेद्यता के बारे में एक संदेश प्रकाशित किया, जो कि पोस्टग्रेसी 9.3 से संस्करण 11.2 तक के सभी संस्करणों में मौजूद है। यह भेद्यता CVV-2019-9193 नंबर के तहत CVE (आम कमजोरियों और एक्सपोज़र) सूचना सुरक्षा भेद्यता डेटाबेस में दर्ज की गई थी । इस संदेश ने बड़ी हलचल मचाई, क्योंकि CVSS (कॉमन वल्नरेबिलिटी स्कोरिंग सिस्टम) भेद्यता रेटिंग सिस्टम के अनुसार, इस भेद्यता को 10-पॉइंट स्केल पर 9.0 रेटिंग दी गई थी।

कमजोरियों को निम्नलिखित विशेषताओं को सौंपा गया था:

• गोपनीयता प्रभाव (गोपनीयता पर प्रभाव) - जानकारी का पूर्ण प्रकटीकरण, सभी सिस्टम फ़ाइलों के प्रकटीकरण की ओर जाता है।
• अखंडता प्रभाव (अखंडता पर प्रभाव) - सिस्टम सुरक्षा का एक पूर्ण नुकसान, परिणामस्वरूप, पूरी प्रणाली समझौता हो जाती है।
• उपलब्धता प्रभाव - एक संसाधन की उपलब्धता पूरी तरह से अनुपलब्ध है।
• पहुंच की जटिलता कम है। उपयोग के लिए बहुत कम ज्ञान या कौशल की आवश्यकता होती है।
• प्रमाणीकरण - सिस्टम में लॉग इन करने के लिए एक हमलावर की आवश्यकता होती है, उदाहरण के लिए, कमांड लाइन के माध्यम से या डेस्कटॉप सत्र या वेब इंटरफेस के माध्यम से।
• प्रवेश प्राप्त - नहीं।
• भेद्यता प्रकार (ओं) (भेद्यता का प्रकार) - कोड निष्पादन।

अब पता लगाते हैं कि वास्तव में क्या होता है।

2013 में, PostgreSQL 9.3 में एक कमिट वापस जोड़ा गया, जो psql में \ copy मेटा कमांड के समान है, इससे आप PostgreSQL तालिकाओं और फ़ाइल सिस्टम में नियमित फ़ाइलों के बीच डेटा स्थानांतरित कर सकते हैं। कॉपी तालिका की सामग्री को फाइल में कॉपी करने के लिए, और कॉपी फाइल से टेबल पर (उन डेटा को तालिका में पहले से ही जोड़ता है)। क्लाइंट पर लागू की जाने वाली \ copy मेटा-कमांड के विपरीत, COPY..TO / FROM कमांड को सर्वर साइड पर लागू किया जाता है। COPY कमांड में एक वैकल्पिक PROGRAM पैरामीटर 'कमांड' है, जो सर्वर को 'कमांड' को निष्पादित करने और PostgreSQL सर्वर या इसके विपरीत मानक आउटपुट पास करने की अनुमति देता है। यह ऐसा पैरामीटर था जिसने आतंक और भेद्यता के बारे में संदेश दिया, क्योंकि ट्रस्टवेव के अनुसार, यह कमांड आपको ऑपरेटिंग सिस्टम के उपयोगकर्ता के संदर्भ में मनमाने कोड को निष्पादित करने की अनुमति देता है। हालांकि, यह वही है जो डेवलपर्स का इरादा है! इस अवसर पर, PostgreSQL ग्लोबल डेवलपमेंट ग्रुप (PGDG) द्वारा एक आधिकारिक पोस्ट , साथ ही साथ pgsql-general email list में पत्राचार (CVE-2019-9193 COPY FROM / PROGRAM के बारे में ) और प्रमुख डेवलपर्स द्वारा टिप्पणियां, उदाहरण के लिए Magnus Hagander, अपने ब्लॉग पर ।

लेकिन सार को समझने के लिए, विवरण महत्वपूर्ण हैं। इस बारे में दस्तावेज में क्या लिखा है: " ध्यान दें कि कमांड शेल के माध्यम से कमांड लॉन्च किया गया है, इसलिए यदि आप इस कमांड से किसी भी अविश्वासित स्रोत से कोई तर्क पारित करना चाहते हैं, तो आपको शेल में विशेष अर्थ रखने वाले सभी विशेष वर्णों से सावधानीपूर्वक छुटकारा पाना होगा, या उन्हें स्क्रीन करने के लिए। सुरक्षा कारणों से, अपने आप को एक निश्चित कमांड लाइन तक सीमित करना बेहतर है या कम से कम उपयोगकर्ताओं को इसमें मनमानी सामग्री दर्ज करने की अनुमति नहीं है । ”

इसके अलावा, दस्तावेज़ का कहना है कि केवल डेटाबेस के सुपरसर्स को फ़ाइल या बाहरी कमांड के साथ COPY कमांड को निष्पादित करने की अनुमति है, या (संस्करण 11 में दिखाई दिया) बिल्ट-इन रोल्स के सदस्य pg_read_server_files, pg_write_server_files या pg_execute_server_program, जब से आप इसे पढ़ने की अनुमति देते हैं। प्रोग्राम है कि सर्वर के लिए उपयोग किया है। PROGRAM में एक कमांड का निष्पादन OS में संचालित अन्य अभिगम नियंत्रण तंत्रों द्वारा सीमित किया जा सकता है, उदाहरण के लिए SELinux।

संरचनात्मक रूप से, डेटाबेस सुपरयूजर और ऑपरेटिंग सिस्टम के उपयोगकर्ता के बीच कोई सुरक्षा सीमा नहीं है, जिसकी ओर से सर्वर की सर्वर प्रक्रिया चल रही है। COPY के लिए कार्य ... PROGRAM को PostgreSQL 9.3 में जोड़ा गया है, उपरोक्त में से कोई भी बदलाव नहीं हुआ है, लेकिन एक ही सुरक्षा सीमाओं के भीतर एक नया कमांड जोड़ा है जो पहले से मौजूद है। इसलिए, PostgreSQL सर्वर ऑपरेटिंग सिस्टम (उदाहरण के लिए, रूट) के सुपरयुसर के रूप में नहीं चल सकता।

COPY..TO / FROM ... PROGRAM कार्यक्षमता स्वयं डेटा हेरफेर, डेटा पोस्ट-प्रोसेसिंग, ऑन-द-फ्लाई डेटा संपीड़न और इतने पर के लिए असीमित संभावनाएं प्रदान करती है। और इस तरह के उपयोगी उपकरणों के उपयोग को प्रतिबंधित करना गलत होगा। COPY..TO / FROM ... PROGRAM कंस्ट्रक्शन के उदाहरण माइकल पाक्वीयर के ब्लॉग पर दिए गए हैं।

इस कहानी के बाद एक महत्वपूर्ण निष्कर्ष यह है कि जब डिजाइनिंग और डेटाबेस बनाते हैं, तो न केवल कार्यात्मक विशेषताओं को याद रखना आवश्यक है, बल्कि सुरक्षा की जानकारी भी है और निम्नलिखित नियमों का पालन करें:

• डेटाबेस में साधारण उपयोगकर्ता बनाते समय, उन्हें सुपरयूज़र की अनुमति न दें, केवल ऑपरेटिंग सिस्टम को पोस्टग्रेज करने वाले उपयोगकर्ता, जिसकी ओर से सर्वर शुरू किया जाता है, डेटाबेस में सुपरयूज़र के रूप में कार्य करता है। इस मामले में, विशेषाधिकारों की कोई वृद्धि नहीं है। यदि आप एक साधारण डेटाबेस उपयोगकर्ता को सुपरयूज़र की अनुमति देते हैं, तो यह उपयोगकर्ता को उन अनुमतियों को जारी करने के बराबर होगा जो उपयोगकर्ता ऑपरेटिंग सिस्टम में पोस्टग्रेज करता है।
• यह सुनिश्चित करने के लिए pg_hba.conf की क्षमताओं का उपयोग करें कि कोई सुपरयुसर रिमोट में लॉग इन न कर सके।
  यदि pg_hba.conf फ़ाइल में "होस्ट" के साथ कोई पिछली पंक्तियाँ नहीं हैं, तो निम्न प्रविष्टि tcp / ip प्रोटोकॉल का उपयोग करके किसी भी डेटाबेस से किसी भी डेटाबेस से कनेक्ट करने से उपयोगकर्ता को पोस्टग्रेज करने से रोकती है।
  
  

  # TYPE DATABASE USER ADDRESS METHOD host all postgres 0.0.0.0/0 reject 

• PostgresSQL में उन्नत सूचना सुरक्षा तकनीकों का उपयोग करें, जैसे कि CIS PostgreSQL बेंचमार्क और PostgreSQL सुरक्षा तकनीकी कार्यान्वयन गाइड (STIG) ।
• प्रमाणित उत्पादों का उपयोग करें, जिनके लिए सूचना सुरक्षा के लिए कार्यात्मक आवश्यकताओं और सूचना सुरक्षा उपकरणों में विश्वास के स्तर की पुष्टि की गई है।

इस प्रकार, हमें पता चला कि CVE-2019-9193 एक भेद्यता नहीं है। लेकिन आपको आराम नहीं करना चाहिए। अद्यतनों और नए छोटे रिलीज के बारे में जानकारी को याद न करें जो पहचाने गए कमजोरियों को सही करते हैं , जिसके बिना एक भी बड़ी परियोजना नहीं कर सकती है।