Исправленные уязвимости CVE в релизе 6.5.9

В рамках обновления SpaceVM 6.5.9 были устранены уязвимости, выявленные в ходе анализа безопасности.

Код CVE	Модуль	Описание уязвимости	Устранение уязвимости	Вектор атаки
CVE-2025-30472	Corosync	Стековое переполнение буфера в функции `orf_token_endian_convert` через UDP-пакеты	Эксплуатация уязвимости в системе невозможна	Вектор атаки Удаленный неаутентифицированный атакующий может отправить UDP-пакет большого размера на кластеризованную систему, использующую Corosync. Из-за ошибки границ при преобразовании порядка байтов токена это приводит к переполнению стека и может позволить выполнить произвольный код или вызвать отказ в обслуживании.
CVE-2022-24842	MinIO	Создание сервисных аккаунтов для пользователя root обычным пользователем	Модуль исключен из состава продукта	Вектор атаки Непривилегированный пользователь может создавать сервисные аккаунты для root или других администраторов и использовать сгенерированные учетные данные для получения прав доступа. Это позволяет пользователю повысить свои привилегии до уровня root.
CVE-2023-25812	MinIO	Обход политики `Deny` на `ByPassGovernance`	Модуль исключен из состава продукта	Вектор атаки Вместо того, чтобы вернуть `Access Denied` при попытке `DELETE` объекта с заголовком `X-Amz-Bypass-Governance-Retention: true`, система выполняет запрос, что позволяет удалить объекты, находящиеся под управлением governance-политики.
CVE-2023-28432	MinIO	Раскрытие информации через переменные окружения	Модуль исключен из состава продукта	Вектор атаки При эксплуатации данной уязвимости MinIO возвращает все переменные окружения, включая `MINIO_SECRET_KEY` и `MINIO_ROOT_PASSWORD`. Уязвимости подвержены кластерные (distributed) развертывания MinIO. Вероятность эксплуатации в ближайшие 30 дней оценивается как 93.97%.
CVE-2023-28433	MinIO	Произвольное размещение объектов с помощью символа `\`	Модуль исключен из состава продукта	Вектор атаки Уязвимость проявляется на платформе Windows. Атакующий с низкими привилегиями (обычный access key, сервисный аккаунт или STS-учетные данные), имеющий только права на PutObject в конкретном бакете, может обойти ограничения и создать пользователя с правами администратора. Проблема вызвана некорректной фильтрацией символа `\`.
CVE-2023-28434	MinIO	Обход проверки имени бакета при обработке `PostPolicyBucket`	Модуль исключен из состава продукта	Вектор атаки Атакующий может использовать специально сформированные запросы для обхода проверки имени бакета метаданных и размещения объекта в любом бакете. Для эксплуатации требуется включенный доступ к Console API.
CVE-2024-24747	MinIO	Повышение привилегий	Модуль исключен из состава продукта	Вектор атаки Атакующий может удаленно получить несанкционированный доступ к системе, используя уязвимость в механизмах повышения привилегий MinIO.
CVE-2024-55949	MinIO	Повышение привилегий пользователя через API импорта IAM	Модуль исключен из состава продукта	Вектор атаки Атакующий может использовать уязвимость в API импорта IAM для повышения своих привилегий. Для эксплуатации не требуются специальные условия, атака может быть проведена удаленно.
CVE-2025-62506	MinIO	Повышение привилегий через обход ограничений сессионных политик	Модуль исключен из состава продукта	Вектор атаки Атакующий c учетными данными сервисного или STS-аккаунта с ограниченной сессионной политикой, может создать новый сервисный аккаунт для того же пользователя. Из-за ошибки в логике проверки IAM-политики, новый аккаунт создается с правами родительского аккаунта, что позволяет получить полный доступ к хранилищу.
CVE-2022-4337	Open vSwitch	Чтение данных за пределами буфера в Organization Specific TLV	Версия модуля обновлена	Вектор атаки Уязвимость возникает из-за граничного условия при разборе Auto Attach TLV. Это позволяет злоумышленнику прочитать содержимое памяти системы или вызвать отказ в обслуживании (DoS).
CVE-2022-4338	Open vSwitch	Целочисленное переполнение в Organization Specific TLV	Версия модуля обновлена	Вектор атаки Уязвимость существует из-за целочисленного переполнения при разборе Auto Attach TLV. Это позволяет атакующему с помощью специально сформированных LLDP-пакетов выполнить произвольный код на целевой системе, что может привести к ее полной компрометации.
CVE-2023-1668	Open vSwitch	Некорректная обработка IP-пакетов с `protocol 0`	Версия модуля обновлена	Вектор атаки Атакующий может отправить специально сформированные IP-пакеты с `ip proto` установленным в `0`. Из-за ошибки в логике обработки OVS установит для `datapath flow` некорректное действие без изменения IP-заголовка, что приводит к неправильной обработке последующих пакетов и может вызвать отказ в обслуживании (DoS).
CVE-2023-5869	postgresql	Переполнение буфера при модификации массивов SQL	Версия модуля обновлена	Вектор атаки Аутентифицированный пользователь БД может создать SQL-запрос, изменяющий значение массива. Из-за отсутствия проверки переполнения целого числа это позволяет записать произвольные байты в область памяти сервера, что ведет к выполнению произвольного кода или чтению памяти сервера.
CVE-2024-0985	postgresql	Выполнение произвольного SQL-кода через `REFRESH MATERIALIZED VIEW CONCURRENTLY`	Версия модуля обновлена	Вектор атаки Атакующий может обманом заставить суперпользователя или другого привилегированного пользователя выполнить команду `REFRESH MATERIALIZED VIEW CONCURRENTLY` для этого представления. Это позволяет атакующему выполнить произвольный SQL-код с правами привилегированного пользователя.
CVE-2024-10979	postgresql	Некорректный контроль переменных среды в PL/Perl	Версия модуля обновлена	Вектор атаки Непривилегированный пользователь БД, имеющий право создавать и выполнять функции на языке PL/Perl, может изменить важные переменные окружения процесса (например, `PATH`). Подменив путь к исполняемым файлам, он может заставить сервер выполнить вредоносную программу от имени учетной записи ОС, под которой работает PostgreSQL.
CVE-2024-7348	postgresql	Выполнение произвольного SQL-кода через `pg_dump`	Версия модуля обновлена	Вектор атаки Злоумышленник может создать объект БД, а затем быстро заменить его на представление или внешний объект в промежутке между моментом, когда утилита `pg_dump` проводит проверку, и моментом его чтения. Это позволяет выполнить произвольные SQL-функции с правами пользователя, запустившего `pg_dump`.
CVE-2025-1094	postgresql	Некорректная обработка синтаксиса кавычек в функциях libpq	Версия модуля обновлена	Вектор атаки Атака возможна в двух сценариях: 1) Уязвимость в функциях экранирования. Если приложение использует результат этих функций для формирования запроса к `psql`, злоумышленник может внедрить SQL-команды. 2) При определенных кодировках клиента и сервера (BIG5/EUC_TW) аргументы командной строки утилит PostgreSQL неправильно нейтрализуются, что приводит к SQL-инъекции.
CVE-2025-8714	postgresql	Включение недоверенных данных в `pg_dump`	Версия модуля обновлена	Вектор атаки Злоумышленник c правами суперпользователя на сервере-источнике БД может создать вредоносные мета-команды `psql` внутри данных дампа. При восстановлении такого дампа с помощью `psql` эти команды выполнятся на стороне клиента от имени учетной записи ОС, запустившей восстановление, что ведет к выполнению произвольного кода.
CVE-2025-8715	postgresql	Внедрение произвольного SQL-кода через символы новой строки в `pg_dump`	Версия модуля обновлена	Вектор атаки Атакующий может создать объект БД, имя которого содержит символы перевода строки `CRLF`. При создании дампа это приведет к внедрению вредоносных мета-команд `psql`. При восстановлении дампа эти команды будут выполнены от имени клиента.