CVE-2025-8715
PostgreSQL pg_dump: перевод строки в имени объекта и инъекция при restore
CVE-2025-8715 затрагивает PostgreSQL до исправлений 17.6/16.10/15.14/14.19/13.22; ветки до 11.20 не затронуты. Имя объекта с переводом строки в dump может повлиять и на клиента psql, и на superuser целевого сервера при восстановлении.
Кому нужно проверить
DBA и администраторам, выполняющим pg_dump, pg_restore или pg_upgrade и восстанавливающим данные из потенциально недоверенных источников. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Имя объекта с переводом строки может внедрить psql meta-commands, выполняемые от имени пользователя ОС при restore, а также SQL-команды с правами superuser целевого сервера. Уровень последствий зависит от используемой утилиты, прав restore и доверия к исходной базе.
Затронутые версии
Затронуты версии до PostgreSQL 17.6, 16.10, 15.14, 14.19 и 13.22. PostgreSQL 11.20 reintroduced ранее исправленный класс ошибки; версии до 11.20 advisory прямо объявляет unaffected, поэтому включайте ветку 11 только начиная с 11.20 и до исправления, если поставщик подтверждает соответствующую сборку. Затронуты pg_dump, pg_dumpall, pg_restore и pg_upgrade.
Исправленные версии
Исправлено в PostgreSQL 17.6, 16.10, 15.14, 14.19 и 13.22; отдельная исправленная 11.x версия в advisory не указана. Для 11.20+ сверяйте статус и наличие backport у поставщика, не придумывая номер исправления.
Что сделать
- 1Инвентаризируйте версии серверов и всех клиентских утилит, включая контейнеры автоматизации. Для ветки 11 не считайте все версии затронутыми: upstream сообщает, что версии ниже 11.20 unaffected.
- 2Обновите поддерживаемые ветки до 17.6, 16.10, 15.14, 14.19 или 13.22 либо пакета с backport. Для PostgreSQL 11.20+ уточните у поставщика статус исправления, поскольку официальный advisory не перечисляет отдельный исправленный выпуск этой ветки.
- 3Не запускайте restore из недоверенного dump на критичной системе или с избыточными правами. До подтверждения патча используйте изолированный тестовый сервер, минимальные права ОС и БД и проверенный процесс импорта.
- 4Проверьте версию фактически используемых pg_dump/pg_restore/pg_upgrade после обновления, результаты тестового восстановления и журналы target server. Резервная копия до миграции и проверенная процедура отката обязательны для производственной базы.
Оценка риска CVE-2025-8715
Ключевые границы — версия утилит, происхождение dump и привилегии restore.
- 1Проверить версию и ветку, включая исключение до 11.20
- 2Обновить утилиты или подтвердить backport
- 3Изолировать импорт недоверенных данных
- 4Проверить права и результат восстановления
Примеры конфигурации и проверки
pg_dump --version && pg_restore --version && pg_upgrade --versionКоманда только печатает локальные версии утилит. Выполняйте в окружении, реально запускающем задачу; проверьте полный путь и backport ОС. Версия сервера назначения не подменяет проверку клиентских бинарных файлов.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.