CVE-2020-21469 不是安全漏洞

由 PostgreSQL 全球开发小组发布于 2023-08-29
PostgreSQL 项目 安全

PostgreSQL 安全团队注意到了CVE-2020-21469,该漏洞是在 PostgreSQL 安全团队不知情的情况下提交的。

这不是安全漏洞.

该 CVE 声称可以通过向主 PostgreSQL 进程重复发送 SIGHUP(或重新加载)信号,在 PostgreSQL 12.2 中创建拒绝服务攻击。然而,要做到这一点,您需要拥有被明确授予提升权限的帐户,包括:

  • PostgreSQL 超级用户 (postgres)。
  • 被 PostgreSQL 超级用户授予执行 pg_reload_conf 权限的用户。
  • 访问特权操作系统用户。

如果您仍然运行 PostgreSQL 12.2,我们强烈建议您升级到较新的版本,因为这些实际的 CVE 以及许多其他的错误修复。

如果您怀疑 PostgreSQL 存在安全漏洞,请首先向 PostgreSQL 安全团队报告以进行评估。PostgreSQL 安全团队维护其已知的漏洞列表已近 20 年。该团队与所有报告者合作,以确定什么是有效的漏洞,并为我们的用户提供有关安全问题的透明度。

有关如何向 PostgreSQL 安全团队报告安全漏洞以及该团队如何评估报告的更多信息,请参阅安全页面

https://postgresql.ac.cn/support/security/