声明：CVE-2019-9193 不是安全漏洞__近期在互联网媒体上流传PostgreSQL存在任意代码执行的漏洞：“拥有‘pg_read_server_files’权限的攻击者可利用此漏洞具备超级用户权限,执行任意系统命令”。针对此言论，PostgreSQL官方在2019年4月4日发表声明。_

PG中文社区 /

mdi-home

首页

社区新闻

中文文档

加入ACE

mdi-home

首页

mdi-chat-processing

社区新闻

mdi-book-open-variant

中文文档

mdi-account-multiple-check

加入ACE

mdi-file-multiple-outline

相关资料

mdi-blank

mdi-exit-to-app

退出账号

声明：CVE-2019-9193 不是安全漏洞

原作者：高巍　　创作时间：2019-04-12 09:00:56+08　　

redraiment 发布于2019-04-12 09:00:56　　

评论: 1　　

顶: 548　

踩: 539　

作者：**高巍** 杭州乘数科技有限公司DBA

近期在互联网媒体上流传PostgreSQL存在任意代码执行的漏洞：“拥有‘pg_read_server_files’权限的攻击者可利用此漏洞具备超级用户权限,执行任意系统命令”。

## 针对此言论，PostgreSQL官方在2019年4月4日发表声明如下：

互联网媒体上报到的有关PostgreSQL方面的安全漏洞CVE-2019-9193，PostgreSQL安全团队强调这不是一个安全漏洞，我们认为创建这个CVE-2019-9193就是个错误，而且已经和CVE-2019-9193的报告者联系，调查为什么会创建这个条目。

`COPY .. PROGRAM` 功能明确规定，只能被授予超级用户权限、或是默认`pg_execute_server_program` 角色的数据库用户来执行。根据设计，此功能允许被授予超级用户或`pg_execute_server_program`的用户作为PostgreSQL服务器运行的操作系统用户(通常是“postgres”)执行操作。CVE中提到的默认角色`pg_read_server_files`和`pg_write_server_files`不会授予数据库用户使用`COPY .. PROGRAM`的权限。

根据设计，数据库超级用户与运行数据库服务所在的操作系统的用户之间不存在不同的安全边界，另外PostgreSQL服务器不允许作为操作系统超级用户（例如“root”）运行。PostgreSQL 9.3中添加的`COPY .. PROGRAM`的功能并未改变上述设计原则，只是在现有的安全边界内添加了一个功能。

我们鼓励PostgreSQL的所有用户遵循最佳实践方案，即永远不要向远程用户或其他不受信任的用户授予超级用户的访问权限。这是系统管理中应遵循的安全操作标准，对于数据库管理也需要遵循。

如果您对此有更多疑问，我们诚邀您通过社区官网与工作人员取得联系。

社区官网链接：https://www.postgresql.org/about/news/1935/

## 验证

个人做一个简单的认证如下

在PG11.2上创建用户凭赋予pg_read_server_files权限

```
[postgres@pg01 pg11data]$ psql
psql (11.2)
Type "help" for help.

postgres=# create user u01 password 'XXXXXXXX';
CREATE ROLE

postgres=# grant pg_read_server_files to u01;
GRANT ROLE
```

使用赋予权限的用户登录上数据库

```
[postgres@pg01 pg11data]$ psql -Uu01 -h 127.0.0.1 postgres
psql (11.2)
Type "help" for help.

postgres=> create table cmd_exec(cmd_output text);
CREATE TABLE

postgres=> \du
                                          List of roles
 Role name |                         Attributes                         |       Member of
-----------+------------------------------------------------------------+------------------------
 postgres  | Superuser, Create role, Create DB, Replication, Bypass RLS | {}
 u01       |                                                            | {pg_read_server_files}
```

执行相关命令，发现失败。不存在流言上所述问题

```
postgres=> copy cmd_exec from program 'id';
ERROR:  must be superuser or a member of the pg_execute_server_program role to COPY to or from an external program
HINT:  Anyone can COPY to stdout or from stdin. psql's \copy command also works for anyone.
```

![CENTER_PostgreSQL_Community](/images/news/2016/pg_bot_banner.jpg)

评论:1　　

顶: 548　

踩: 539　

请在登录后发表评论，否则无法保存。

1# __ xiaowu 回答于 2024-04-23 14:49:34+08

小学语文教研组工作计划:https://www.nanss.com/xuexi/5255.html 描写黄河的诗句:https://www.nanss.com/xuexi/4526.html 经典qq留言:https://www.nanss.com/shenghuo/5203.html 致已不再年轻的自己:https://www.nanss.com/yuedu/5200.html 最帅的网名:https://www.nanss.com/mingcheng/4991.html 猜猜他是谁150个字:https://www.nanss.com/xuexi/5031.html 猎人海力布缩写:https://www.nanss.com/xuexi/5271.html 跑操口号:https://www.nanss.com/xuexi/5119.html 盼望造句:https://www.nanss.com/xuexi/4383.html 情人节祝福语最温馨的话简短:https://www.nanss.com/yulu/4681.html qq群公告:https://www.nanss.com/shenghuo/5225.html 相依为命造句:https://www.nanss.com/xuexi/5187.html 情感网名:https://www.nanss.com/mingcheng/5321.html 繁体字网名大全:https://www.nanss.com/mingcheng/5298.html 路灯像什么比喻句:https://www.nanss.com/xuexi/5216.html 一心一意到十全十美的祝福语:https://www.nanss.com/yulu/5191.html 感谢妈妈的短句:https://www.nanss.com/yulu/5159.html 川流不息造句:https://www.nanss.com/xuexi/4539.html 风花雪月的诗句:https://www.nanss.com/xuexi/4238.html 最狠的网名:https://www.nanss.com/mingcheng/5052.html 感谢语:https://www.nanss.com/yulu/5318.html 我想养的小动物二年级写话:https://www.nanss.com/xuexi/5283.html qq昵称女生简短好听:https://www.nanss.com/mingcheng/5061.html 微信起名高端大气:https://www.nanss.com/mingcheng/5409.html 天冷加衣服的温暖句子:https://www.nanss.com/yulu/5360.html 沙雕网名:https://www.nanss.com/mingcheng/5358.html 风景如画造句:https://www.nanss.com/xuexi/5215.html 关于冬天的古诗:https://www.nanss.com/xuexi/5097.html 小公主生日快乐:https://www.nanss.com/yulu/5466.html 求学之路:https://www.nanss.com/xuexi/5306.html