媒体广泛报道了 PostgreSQL 中的一个安全漏洞，注册为 CVE-2019-9193。PostgreSQL 安全团队想强调的是，这不是安全漏洞。我们认为 CVE 条目是错误提交的。我们已联系报告者调查此事。
COPY .. PROGRAM 功能明确声明，它只能由被授予超级用户权限或默认角色 pg_execute_server_program 的数据库用户执行。根据设计，此功能允许被授予超级用户或 pg_execute_server_program 权限的用户以 PostgreSQL 服务器运行的操作系统用户身份（通常是“postgres”）执行操作。CVE 中提到的默认角色 pg_read_server_files 和 pg_write_server_files 不授予数据库用户使用 COPY .. PROGRAM 的权限。
根据设计，数据库超级用户与服务器运行的操作系统用户之间不存在安全边界。因此，根据设计，PostgreSQL 服务器不允许以操作系统超级用户（例如“root”）身份运行。PostgreSQL 9.3 中添加的 COPY .. PROGRAM 功能没有改变上述任何内容，而是在已存在的相同安全边界内添加了一个新命令。
我们鼓励所有 PostgreSQL 用户遵循最佳实践，即永远不要将超级用户访问权限授予远程或不受信任的用户。这是系统管理中遵循的标准安全操作程序，也适用于数据库管理。
如果您对此有更多疑问，我们邀请您通过我们的支持资源之一联系社区成员
https://postgresql.ac.cn/support/