Debian dsa-6438：libecpg-compat3 - 安全更新
high Nessus 插件 ID 335238
语言：
简介
远程 Debian 主机上缺少一个或多个与安全相关的更新。描述
远程 Debian 13 主机上安装的多个程序包受到 dsa-6438 公告中提及的多个漏洞影响。- ------------------------------------------------------------------------- Debian 安全公告 DSA-6438-1 [email protected] https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
- -------------------------------------------------------------------------
程序包：postgresql-17 CVE ID：CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385
在 PostgreSQL 中发现了多个安全问题，这些问题可能导致执行任意代码、身份验证错误、信息泄露或特权提升。
如果使用某些扩展，上 CVE-2026-6471 游补丁需要对配置进行更多更改。这会影响 Debian 中包含的 postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite 和 postgresql-17-decoderbufs 扩展。
引用变更日志：
|将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库 | | 将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库用于逻辑解码，允许各种漏洞利用。要允许在不中断有效的设置的情况下将其锁定 | 之前，引入允许的输出插件的白名单。
| | 默认情况下，仅作为 PostgreSQL（“pgoutput”和“test_decoding”）一部分运输的输出插件包含在“output_plugin_libraries”中。依赖于其他输出插件必须在更新服务器后添加它们，例如 | | output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder'
对于稳定发行版本 (trixie)，已在版本 17.11-0+deb13u1 中修复这些问题。
建议您升级 postgresql-17 程序包。
如需了解 postgresql-17 的具体安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/postgresql-17
有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/
邮件列表：[email protected]
Tenable 已直接从 Debian 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 libecpg-compat3 程序包。另见
https://packages.debian.org/source/trixie/postgresql-17
https://security-tracker.debian.org/tracker/CVE-2026-14662
https://security-tracker.debian.org/tracker/CVE-2026-14663
https://security-tracker.debian.org/tracker/CVE-2026-14664
https://security-tracker.debian.org/tracker/CVE-2026-14666
https://security-tracker.debian.org/tracker/CVE-2026-14668
https://security-tracker.debian.org/tracker/CVE-2026-14669
https://security-tracker.debian.org/tracker/CVE-2026-14670
https://security-tracker.debian.org/tracker/CVE-2026-14671
https://security-tracker.debian.org/tracker/CVE-2026-14672
https://security-tracker.debian.org/tracker/CVE-2026-14673
https://security-tracker.debian.org/tracker/CVE-2026-14677
https://security-tracker.debian.org/tracker/CVE-2026-14678
https://security-tracker.debian.org/tracker/CVE-2026-14679
https://security-tracker.debian.org/tracker/CVE-2026-14680
https://security-tracker.debian.org/tracker/CVE-2026-14681
https://security-tracker.debian.org/tracker/CVE-2026-15741
https://security-tracker.debian.org/tracker/CVE-2026-15742
https://security-tracker.debian.org/tracker/CVE-2026-16239
https://security-tracker.debian.org/tracker/CVE-2026-16241
https://security-tracker.debian.org/tracker/CVE-2026-18024
https://security-tracker.debian.org/tracker/CVE-2026-18408
https://security-tracker.debian.org/tracker/CVE-2026-19385
https://security-tracker.debian.org/tracker/CVE-2026-6464
https://security-tracker.debian.org/tracker/CVE-2026-6469
https://security-tracker.debian.org/tracker/CVE-2026-6470
https://security-tracker.debian.org/tracker/CVE-2026-6471
插件详情
严重性: High
ID: 335238
文件名: debian_DSA-6438.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/8/13
最近更新时间: 2026/8/13
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.12
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-18408
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-6473
漏洞信息
CPE: cpe:/o:debian:debian_linux:13.0, p-cpe:/a:debian:debian_linux:libecpg-compat3, p-cpe:/a:debian:debian_linux:libecpg-dev, p-cpe:/a:debian:debian_linux:libecpg6, p-cpe:/a:debian:debian_linux:libpgtypes3, p-cpe:/a:debian:debian_linux:libpq-dev, p-cpe:/a:debian:debian_linux:libpq5, p-cpe:/a:debian:debian_linux:postgresql-17, p-cpe:/a:debian:debian_linux:postgresql-client-17, p-cpe:/a:debian:debian_linux:postgresql-doc-17, p-cpe:/a:debian:debian_linux:postgresql-plperl-17, p-cpe:/a:debian:debian_linux:postgresql-plpython3-17, p-cpe:/a:debian:debian_linux:postgresql-pltcl-17, p-cpe:/a:debian:debian_linux:postgresql-server-dev-17
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
易利用性: No known exploits are available
补丁发布日期: 2026/8/13
漏洞发布日期: 2026/5/14
参考资料信息
CVE: CVE-2026-14662, CVE-2026-14663, CVE-2026-14664, CVE-2026-14666, CVE-2026-14668, CVE-2026-14669, CVE-2026-14670, CVE-2026-14671, CVE-2026-14672, CVE-2026-14673, CVE-2026-14677, CVE-2026-14678, CVE-2026-14679, CVE-2026-14680, CVE-2026-14681, CVE-2026-15741, CVE-2026-15742, CVE-2026-16239, CVE-2026-16241, CVE-2026-18024, CVE-2026-18408, CVE-2026-19385, CVE-2026-6464, CVE-2026-6469, CVE-2026-6470, CVE-2026-6471, CVE-2026-6473