世界中で広く使われているオープンソースのデータベース「PostgreSQL」で、計52件のセキュリティホールを修正するアップデートが公開されました。その中でも注目されているのが、約22年前から存在していたとされる「型の取り違え(type confusion)」の欠陥です。
型の取り違えとは、プログラムがあるデータを本来とは違う種類のものとして扱ってしまう不具合です。今回の欠陥では、データベース内にオブジェクト(テーブルなど)を作成できる権限を持つユーザーが、データベースサーバー上で任意のプログラムを実行できてしまうおそれがあります。このように、離れた場所から他人のコンピューターで好きな処理を動かせる欠陥は、一般に「遠隔コード実行(RCE)」と呼ばれます。ただし今回は、ログイン済みで一定の権限を持つ利用者が前提になります。
注意が必要なのは、アップデートを適用するだけでは完全に防げない点です。この欠陥への完全な対策には、サーバーに導入しているC言語で書かれた拡張機能を、修正版に合わせて再ビルド(作り直し)する必要があるとされています。
PostgreSQLを自社のサーバーやクラウド上で運用している場合は、まず使っているバージョンを確認し、公開された修正版へ更新してください。そのうえで、独自の拡張機能や外部の拡張機能を使っているなら、再ビルドが必要かどうかも点検しましょう。また、データベースの権限は必要最小限の利用者にだけ与えることが、被害を抑える基本です。
出典: The Hacker News「PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCE」