CVE-2024-4317

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2024-4317
Missing authorization in PostgreSQL built-in views pg_stats_ext and pg_stats_ext_exprs allows an unprivileged database user to read most common values and other statistics from CREATE STATISTICS commands of other users. The most common values may reveal column values the eavesdropper could not otherwise read or results of functions they cannot execute. Installing an unaffected version only fixes fresh PostgreSQL installations, namely those that are created with the initdb utility after installing that version. Current PostgreSQL installations will remain vulnerable until they follow the instructions in the release notes. Within major versions 14-16, minor versions before PostgreSQL 16.3, 15.7, and 14.12 are affected. Versions before PostgreSQL 14 are unaffected.

3.1 /10

CVSS v3 : LOW

V3 Legend

Vector :

Exploitability : 1.6 / Impact : 1.4

Attack Vector NETWORK

Attack Complexity HIGH

Privileges Required LOW

User Interaction NONE

Confidentiality Impact LOW

Integrity Impact NONE

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://www.postgresql.org/support/security/CVE-2024-4317/ Mitigation Vendor Advisory
https://security.netapp.com/advisory/ntap-20250328-0001/
https://www.postgresql.org/support/security/CVE-2024-4317/ Mitigation Vendor Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*
History

28 Mar 2025, 15:15

Type Values Removed Values Added
References
  • () https://security.netapp.com/advisory/ntap-20250328-0001/ -

12 Feb 2025, 16:17

Type Values Removed Values Added
First Time Postgresql
Postgresql postgresql
References () https://www.postgresql.org/support/security/CVE-2024-4317/ - () https://www.postgresql.org/support/security/CVE-2024-4317/ - Mitigation, Vendor Advisory
CPE cpe:2.3:a:postgresql:postgresql:*:*:*:*:*:*:*:*

21 Nov 2024, 09:42

Type Values Removed Values Added
References () https://www.postgresql.org/support/security/CVE-2024-4317/ - () https://www.postgresql.org/support/security/CVE-2024-4317/ -
Summary
  • (es) La falta de autorización en las vistas integradas de PostgreSQL pg_stats_ext y pg_stats_ext_exprs permite a un usuario de base de datos sin privilegios leer los valores más comunes y otras estadísticas de los comandos CREATE STATISTICS de otros usuarios. Los valores más comunes pueden revelar valores de columnas que el espía no podría leer de otro modo o resultados de funciones que no pueden ejecutar. La instalación de una versión no afectada solo corrige instalaciones nuevas de PostgreSQL, es decir, aquellas que se crean con la utilidad initdb después de instalar esa versión. Las instalaciones actuales de PostgreSQL seguirán siendo vulnerables hasta que sigan las instrucciones de las notas de la versión. Dentro de las versiones principales 14-16, las versiones menores anteriores a PostgreSQL 16.3, 15.7 y 14.12 se ven afectadas. Las versiones anteriores a PostgreSQL 14 no se ven afectadas.

14 May 2024, 15:43

Type Values Removed Values Added
New CVE
Information

Published : 2024-05-14 15:43

Updated : 2025-03-28 15:15

NVD link : CVE-2024-4317

Mitre link : CVE-2024-4317

CVE.ORG link : CVE-2024-4317

JSON object : View

Products Affected

postgresql

  • postgresql
CWE
CWE-862

Missing Authorization