Vulnerabilidades en PostgreSQL
Recientemente PostgreSQL ha publicado en su sitio oficial 3 vulnerabilidades que afectan a algunos de sus productos. En esta ocasión dio a conocer 2 vulnerabilidades altas que afectan a las herramientas de respaldo y una vulnerabilidad baja que afecta a las estadísticas de optimización del servidor, a continuación, se describen las vulnerabilidades mencionadas.
CVE-2025-8714
Esta vulnerabilidad afecta a las herramientas de respaldo de PostgreSQL que generan archivos de texto como pg_dump, pg_dumpall y pg_restore. Normalmente los respaldos deberían contener únicamente instrucciones de base de datos, pero esta falla permite que se incluyan comandos especiales de psql que pueden ejecutarse directamente en el sistema operativo.
Un atacante con credenciales de administrador en el servidor puede generar un respaldo aparentemente normal, pero con contenido malicioso oculto. El propio atacante no puede ejecutar ese respaldo en el servidor, pero cuando otra persona lo use para restaurar la base de datos en su sistema, esos comandos se ejecutarán en el sistema operativo de la víctima. A esta vulnerabilidad PostgreSQL le asigno una puntuación de 8.8 clasificándola como alta.
CVE-2025-8715
Esta vulnerabilidad también afecta a la herramienta de respaldo del servidor PostgreSQL pg_dump, pg_dumpall, pg_restore y pg_upgrade. Este CVE se origina por neutralizaciones incorrectas de líneas en archivos de textos. En caso de que se logre explotar esta falla los atacantes pueden inyectar código arbitrario en el servidor, al igual que el CVE anterior no lo podrán ejecutar pero cuando se necesite alguien lo ejecutara para restaurar el sistema, pero se ejecutaran comandos maliciosos. Tiene asignada una puntuación de CVSS de 8.8 alta.
CVE-2025-8713
La vulnerabilidad afecta a una herramienta incluida en PostgreSQL que genera estadísticas de optimización como histogramas o listas, que son utilizadas en el servidor durante la planificación de consultas.
Estas estadísticas provienen de datos muestreados de las tablas y aunque se usan para fines internos este cve permite a un usuario remoto con privilegios bajos acceder a estos datos dentro de una vista o partición que normalmente no podría consultar, esta vulnerabilidad evade las políticas de seguridad que deberían impedir el acceso de cualquier usuario a las estadísticas de optimización. A este CVE PostgreSQL le asigno una puntuación CVSS de 3.1 categorizándola en una vulnerabilidad baja.
Versiones Afectadas
CVE-2025-8714, CVE-2025-8715 y CVE-2025-8713
|
Producto afectado |
Versión afectada |
Versión parcheada |
|
PostgreSQL |
17 |
17.6 |
|
PostgreSQL |
16 |
16.10 |
|
PostgreSQL |
15 |
15.14 |
|
PostgreSQL |
14 |
14.19 |
|
PostgreSQL |
13 |
13.22 |
Recomendaciones
-
Si alguna vulnerabilidad le afecta, considere actualizar o migrar a una versión con la vulnerabilidad corregida de acuerdo a la tabla de versiones afectadas.
-
Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
-
Auditar herramientas de acceso remoto. (NIST CSF, 2024)
-
Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
-
Limitar estrictamente el uso de los protocolos SMB y RDP.
-
Realizar auditorías de seguridad. (NIST CSF, 2024)
-
Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
-
Tener filtros de correo electrónico y spam.
-
Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
-
Realizar copias de seguridad, respaldos o back-ups constantemente.
-
Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
-
Revisar continuamente los privilegios de los usuarios.
-
Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
-
Habilitar la autenticación multifactor.
Referencias
- PostgreSQL: CVE-2025-8714: PostgreSQL pg_dump lets superuser of origin server execute arbitrary code in psql client. (2025, Agosto 15). The PostgreSQL Global Development Group. Recuperado el 18 de agosto de 2025, en: https://www.postgresql.org/support/security/CVE-2025-8714/
- PostgreSQL: CVE-2025-8715: PostgreSQL pg_dump newline in object name executes arbitrary code in psql client and in restore target server. (2025, Agosto 15). The PostgreSQL Global Development Group. Recuperado el 18 de agosto de 2025, en: https://www.postgresql.org/support/security/CVE-2025-8715/
- PostgreSQL: CVE-2025-8713: PostgreSQL optimizer statistics can expose sampled data within a view, partition, or child table. (2025, Agosto 15). The PostgreSQL Global Development Group. Recuperado el 18 de agosto de 2025, en: https://www.postgresql.org/support/security/CVE-2025-8713/
