El Grupo de Desarrollo Global de PostgreSQL ha emitido actualizaciones de seguridad de emergencia en todas las versiones compatibles para abordar tres vulnerabilidades críticas que podrían permitir a los atacantes ejecutar código arbitrario durante los procesos de restauración de la base de datos.
Las vulnerabilidades afectan las versiones de PostgreSQL 13 a 17, con parches lanzados en las versiones 17.6, 16.10, 15.14, 14.19 y 13.22.
Entre los tres defectos de seguridad, dos plantean riesgos particularmente graves para las organizaciones que dependen de los procedimientos de respaldo y restauración de PostgreSQL.
Control de llave
1. Los atacantes pueden inyectar y ejecutar código arbitrario durante la restauración a través de fallas PG_DUMP.
2. Optimizer Statistics Bug permite a los usuarios no autorizados acceder a datos restringidos.
3. Actualice a las últimas versiones de inmediato para mitigar estos riesgos.
Estas vulnerabilidades explotan la utilidad PG_DUMP, una herramienta Cornerstone para copias de seguridad de la base de datos, convirtiendo las operaciones de mantenimiento de rutina en posibles vectores de ataque.
Falla de inyección de código de superusuario malicioso
La vulnerabilidad más severa, rastreada como CVE-2025-8714 con una puntuación CVSS de 8.8, permite a los superusores maliciosos en los servidores de origen inyectar código arbitrario que se ejecuta durante la restauración.
Este vector de ataque explota la inclusión de datos no confiable en PG_DUMP, lo que permite a los atacantes incrustar meta-comandos de PSQL maliciosos dentro de los archivos de respaldo.
Cuando los administradores restauran estas copias de seguridad comprometidas con PSQL, los comandos integrados se ejecutan con los privilegios de la cuenta del sistema operativo del cliente que realiza la restauración.
La metodología de ataque tiene similitudes con la CVE-2024-21096 de MySQL, lo que indica un patrón más amplio de explotación de utilidad de volcado en las plataformas de bases de datos.
La vulnerabilidad se extiende más allá de la utilidad PG_DUMP primaria, que afecta PG_DUMPALL para copias de seguridad en todo el clúster y PG_Restore al generar vertederos de formato liso.
Los investigadores de seguridad Martin Rakhmanov, Matthieu Denais y Ryotak descubrieron e informaron este defecto crítico al proyecto PostgreSQL.
Una segunda vulnerabilidad crítica, CVE-2025-8715, que también tiene una puntuación de 8.8 en la escala CVSS, explota una neutralización incorrecta de nuevas líneas en los nombres de objetos dentro de la salida PG_DUMP.
Los atacantes pueden crear objetos de base de datos con nombres especialmente formateados que contienen caracteres de Newline integrados y meta-comandos de PSQL.
Durante la restauración, estos nombres de objetos maliciosos activan la ejecución del código en el sistema de cliente que ejecuta PSQL y potencialmente logran la inyección SQL como superusor en el servidor de base de datos de destino.
La vulnerabilidad representa una regresión de los controles de seguridad, ya que CVE-2012-0868 había abordado previamente patrones de ataque similares antes de que la versión 11.20 reintrodujo la debilidad.
Esta falla afecta a múltiples utilidades de PostgreSQL, incluidos PG_DUMPALL, PG_RESTORE y PG_UPGRADE, ampliando la superficie de ataque potencial en varias operaciones de mantenimiento de bases de datos.
Noah Misch, un contribuyente de PostgreSQL, identificó e informó esta vulnerabilidad.
CVE-2025-8713 aborda una vulnerabilidad de divulgación de información más sutil pero significativa que afecta la funcionalidad de estadísticas de optimizador de PostgreSQL.
Con una puntuación CVSS de 3.1, esta vulnerabilidad permite a los usuarios acceder a datos muestreados dentro de vistas, particiones o tablas infantiles que deben estar restringidas por las listas de control de acceso (ACL) o las políticas de seguridad de fila.
Cvetitlecvss v3.1 ScoreSeverityCVE-2025-8714PG_DUMP Permite que el Superuser ejecute código arbitrario en PSQL Client8.8highcve-2025-8715pg_dump Newline en el nombre de nombre de objeto Ejecutar el código arbitrary Vistas3.1Low
Remediación inmediata Requiere actualizar A las versiones fijas de PostgreSQL: 17.6, 16.10, 15.14, 14.19, o 13.22, lanzados el 14 de agosto de 2025.
Las organizaciones deben implementar controles de acceso estrictos para herramientas de administración de bases de datos, validar volcados de fuentes no confiables y aplicar el principio de menor privilegio durante las operaciones de restauración.
Aumente su SOC y ayude a su equipo a proteger su negocio con inteligencia gratuita de amenazas de primer nivel: Solicitar prueba de prueba premium de búsqueda TI.
