远程 Debian 10 主机上安装的多个程序包受到 dla-3316 公告中提及的一个漏洞影响。

  - PostgreSQL 项目报告：在建立 Kerberos 传输加密期间，经过修改且未经身份验证的服务器可以发送未终止的字符串。如果 libpq 客户端应用程序拥有 Kerberos 凭据缓存并且未明确禁用选项 gssencmode，服务器可导致 libpq 过度读取并报告包含其接收缓冲区当前及之后都存在未初始化字节的错误消息。如果 libpq 的调用程序存在某种可让攻击者访问该消息的漏洞，则会导致过度读取字节泄露。我们未确认或排除出现崩溃或在泄露的字节中出现重要机密信息时发起攻击的可行性。(CVE-2022-41862)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3316-1：postgresql-11 - LTS 安全更新

low Nessus 插件 ID 171363

版本 1.0