远程 AlmaLinux 9 主机安装有程序包该程序包受到 ALSA-2023:2378 公告中提及的漏洞的影响。

  - pgjdbc 是开源 postgresql JDBC 驱动程序。在受影响的版本中，如果 InputStream 大于 2k，使用“PreparedStatement.setText(int, InputStream)”或“PreparedStatemet.setBytea(int, InputStream)”的预处理语句将创建一个临时文件。Unix 之类系统上的其他用户可读取该临时文件，而 MacOS 上的用户不能读取。在类似 Unix 的系统上，系统的临时目录由该系统上的所有用户共享。因此，文件和目录在写入此目录时，默认可以由同一系统上的其他用户读取。此漏洞会阻止其他用户覆盖这些目录或文件的内容。这纯粹是信息泄露漏洞。由于仅在 JDK 1.7 中添加了某些 JDK 文件系统 API，因此，此修复程序取决于您使用的 JDK 版本。Java 1.7 和更高版本用户：此漏洞在 4.5.0 中已修复。Java 1.6 和更低版本用户：无可用的修补程序。如果您无法安装补丁，或在 Java 1.6 上运行时卡滞，为执行用户的专有目录指定“java.io.tmpdir”系统环境变量将可修复此漏洞。
    (CVE-2022-41946)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 9postgresql-jdbc (ALSA-2023:2378)

medium Nessus 插件 ID 175613

版本 1.0