初始發布日期：2022/04/11 16:45 PST
上次更新日期：2022/04/12 13:00 PST
一位安全研究人員最近報告了 Aurora PostgreSQL 中的問題。使用此問題，他們能夠存取特定 Aurora 叢集的內部憑證。無法執行跨客戶或跨叢集存取；但是，可以利用此問題的高許可權本機資料庫使用者可能會取得其叢集中所託管資料的額外存取權，或者可讀取基礎主機的作業系統內的檔案，在此基礎主機中執行其資料庫。
此問題與第三方開放原始碼 PostgreSQL 擴展「log_fdw」相關聯，該擴展預先安裝在 Amazon Aurora PostgreSQL 和 Amazon RDS for PostgreSQL 中。該問題容許研究人員檢查其帳戶中資料庫執行個體的本機系統檔案內容，包括包含 Aurora 特定憑證的檔案。對於具有足夠許可權觸發此問題的經過身份驗證的特權資料庫使用者，可以使用這些憑據來提升從中擷取憑證的自有資料庫資源的存取權。他們將無法使用憑證存取內部 RDS 服務，也無法在資料庫或 AWS 帳戶之間移動。這些憑證只能用於存取與從中擷取憑證的 Aurora 資料庫叢集關聯的資源。
AWS 在收到此問題的報告後立即採取行動解決問題。作為緩解措施的環節，我們更新了 Amazon Aurora PostgreSQL 和 Amazon RDS for PostgreSQL 以防止出現此問題。我們還棄用下面列出的 Amazon Aurora PostgreSQL 和 Amazon RDS for PostgreSQL 次要版本。由此，客戶不再能夠使用這些版本建立新的執行個體。
如下 Amazon Aurora PostgreSQL 和 Amazon RDS for PostgreSQL 次要版本已被棄用。
Amazon Aurora PostgreSQL 相容版本：
- 10.11、10.12、10.13
- 11.6、11.7、11.8
Amazon RDS for PostgreSQL 版本：
- 13.2、13.1
- 12.6、12.5、12.4、12.3、12.2
- 11.11、11.10、11.9、11.8、11.7、11.6、11.5、11.4、11.3、11.2、11.1
- 10.16、10.15、10.14、10.13、10.12、10.11、10.10、10.9、10.7、10.6、10.5、10.4、10.3、10.1
- 9.6.21、9.6.20、9.6.19、9.6.18、9.6.17、9.6.16、9.6.15、9.6.14、9.6.12、9.6.11、9.6.10、9.6.9、9.6.8、9.6.6、9.6.5、9.6.3、9.6.2、9.6.1
- 9.5、9.4 和 9.3
有關次要版本 (包括現有支援版本) 的詳細版本備註，請造訪
Aurora PostgreSQL：https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/AuroraPostgreSQL.Updates.20180305.html
RDS PostgreSQL：https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_PostgreSQL.html
我們非常感謝 Lightspin 報告此問題。
有關安全性的問題或疑慮可以透過 aws-security@amazon.com 告知我們。