PostgreSQL 通过采样列中的可用数据来维护表的统计信息；在查询规划过程中会参考这些数据。在此版本发布之前，能够执行具有给定列读取权限的 SQL 查询的用户可以创建一个有漏洞的操作符，该操作符可以读取从该列中采样的任何数据。如果这恰好包含用户被行安全策略禁止查看的行中的值，那么用户实际上可以绕过该策略。通过仅允许非泄露性操作符在表没有相关行安全策略的情况下使用此数据来修复此问题。
PostgreSQL 项目感谢 Dean Rasheed 报告此问题。
| 受影响版本 | 已修复版本 | 修复发布日期 |
|---|---|---|
| 11 | 11.3 | 2019 年 5 月 9 日 |
| 10 | 10.8 | 2019 年 5 月 9 日 |
| 9.6 | 9.6.13 | 2019 年 5 月 9 日 |
| 9.5 | 9.5.17 | 2019 年 5 月 9 日 |
有关 PostgreSQL 版本信息 的更多信息，请访问 版本信息页面。
| 总体得分 | 3.1 |
|---|---|
| 组件 | 核心服务器 |
| 向量 | AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N |
如果您希望报告 PostgreSQL 中的新安全漏洞，请发送电子邮件至 security@postgresql.org。
如需报告非安全相关错误，请参阅 报告错误 页面。