PostgreSQL 9.3以降でセキュリティを疎かにすると、任意のコード実行できちゃうので気をつけよう

はい。

PostgreSQL 9.3から、COPYコマンドにある機能が追加されているようです。これは、コマンドの実行結果をレコードに挿入したり、レコードの結果をコマンドの標準入力として実行したりできるものです。詳しくは公式サイトの9.2と9.3の説明を見比べてみてください。

聡明な読者の皆さんはお気づきかと思いますが、外部からPostgreSQLにログインさえできれば、これを使って任意のコマンドが実行できるのです(ただしコマンドはPostgreSQL実行ユーザで実行されるので、そのユーザの権限で実行できる範囲に留まります)。

これは仕様なので、脆弱性と言えるのかどうか…

https://medium.com/greenwolf-security/authenticated-arbitrary-command-execution-on-postgresql-9-3-latest-cd18945914d5

詳しく説明しているブログ

とにかく、

PostgreSQLのポートを閉じていたり、PostgreSQLでユーザのログインできるIPアドレスをlocalhostに絞っていたりすれば、防げる話です。

マジで不必要なポートは閉じましょう。

必要最低限のポートだけを開けましょう。

次の投稿では、セキュリティを意識したサーバの建て方を書きます、きっと。