CVE-2024-4317

La falta de autorización en las vistas integradas de PostgreSQL pg_stats_ext y pg_stats_ext_exprs permite a un usuario de base de datos sin privilegios leer los valores más comunes y otras estadísticas de los comandos CREATE STATISTICS de otros usuarios. Los valores más comunes pueden revelar valores de columnas que el espía no podría leer de otro modo o resultados de funciones que no pueden ejecutar. La instalación de una versión no afectada solo corrige instalaciones nuevas de PostgreSQL, es decir, aquellas que se crean con la utilidad initdb después de instalar esa versión. Las instalaciones actuales de PostgreSQL seguirán siendo vulnerables hasta que sigan las instrucciones de las notas de la versión. Dentro de las versiones principales 14-16, las versiones menores anteriores a PostgreSQL 16.3, 15.7 y 14.12 se ven afectadas. Las versiones anteriores a PostgreSQL 14 no se ven afectadas.

A flaw was found in PostgreSQL. Missing authorization in the built-in views pg_stats_ext and pg_stats_ext_exprs allows an unprivileged database user to read most common values and other statistics from CREATE STATISTICS commands of other users. The most common values may reveal column values the eavesdropper could not otherwise read or results of functions they cannot execute.