یک آسیب‌پذیری امنیتی در افزونه PostgreSQL Anonymizer شناسایی شده است که به کاربران با دسترسی محدود (unprivileged masked users) اجازه می‌دهد تا از طریق فراخوانی مکرر تابع anon.hash()، جفت‌های (seed, hash_output) را جمع‌آوری کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به مهاجم اجازه می‌دهد تا یک حمله Brute-force آفلاین را اجرا کرده و از این طریق مقدار Salt مورد استفاده در سیستم را استخراج کند. نکerns-worthy این است که یک نقش ماسک‌شده (masked role) می‌تواند یک تابع محدود شده (RESTRICTED function) را در صورتی که فراخوانی آن در یک sub-select قرار گرفته باشد، اجرا کند.
راهکار رفع مشکل
این مشکل در نسخه‌های 3.2.3 و جدیدتر از PostgreSQL Anonymizer برطرف شده است. به مدیران دیتابیس و مهندسان امنیت توصیه می‌شود هرچه سریع‌تر این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از افشای داده‌های حساس جلوگیری شود.
