Firebird безбедносно упозорење: 0-дневна рањивост у старим верзијама

Firebird пројекат је открио критичне безбедносне проблеме у старим верзијама свих подржаних издања: ако је ваша верзија једнака или мања од наведених верзија (са бројем изградње) 3.0.13.33809, 4.0.6.3203, 5.0.3.1651, потребно је да надоградите на најновија Firebird издања (3.0.13.33818, 4.0.6.3221, 5.0.3.1683, доступна на www.firebirdsql.org). Да нагласимо - ако имате нешто попут 3.0.10, 4.0.4 или 5.0.2 - налазите се у зони опасности.

Рањивост нултог дана је пронађена у свим верзијама Firebird-а мањим од 3.0.13.33809, 4.0.6.3203, 5.0.3.1651 (то значи да тренутна издања на www.firebirdsql.org имају исправку).

Злонамерни корисник може изазвати DoS напад на Firebird сервер слањем специфичног низа бајтова, при чему пријава/лозинка за сервер није потребна. Да би се искористила рањивост, довољно је послати скуп бајтова на Firebird порт, па је препорука да се надоградња изврши што је пре могуће.

Посебна напомена за кориснике ванилла 2.5 верзије - верзија 2.5 такође пати од овог проблема, али пошто је Firebird пројекат не подржава, неће бити исправке за ванилла Firebird, па је потребно надоградити што је пре могуће, или размотрити коришћење HQbird-а, који подржава 2.5.

За кориснике HQbird-а - недавно ажурирање HQbird 2024R2 Update 5 ( /sr/download-hqbird) садржи све исправке за 5.0, 4.0, 3.0, али за 2.5 IBSurgeon ће издати посебну исправку што је пре могуће (верзија 2.5.9.27190). Ако користите HQbird старији од 2024R2 Update 5 - надоградите што је пре могуће.

Шта учинити

Проверите верзију вашег Firebird-а: за ово покрените у командној линији неки алат из ваше инсталације са прекидачем -z, на пример, gstat.exe -z и проверите пуну верзију. На Windows-у такође можете кликнути десним тастером на firebird.exe и погледати картицу “Детаљи”.
Ако користите најновије издање - односно једнако или више од 3.0.13.33818, 4.0.6.3221, 5.0.3.1683, 2.5.9.27190 - безбедни сте. Ако је мање - планирајте надоградњу на најновији Firebird.
Ако користите небезбедну верзију, уверите се да је порт 3050 доступан само за поверљиве клијентске конекције. Планирајте надоградњу што је пре могуће.

Потребна вам је помоћ? Контактирајте [email protected] са било којим питањима.