远程 Debian 13 主机上安装的多个程序包受到 dsa-6438 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6438-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-17 CVE ID：CVE-2026-6464 CVE-2026-6469 CVE-2026-6470 CVE-2026-6471 CVE-2026-6473 CVE-2026-14662 CVE-2026-14663 CVE-2026-14664 CVE-2026-14666 CVE-2026-14668 CVE-2026-14669 CVE-2026-14670 CVE-2026-14671 CVE-2026-14672 CVE-2026-14673 CVE-2026-14677 CVE-2026-14678 CVE-2026-14679 CVE-2026-14680 CVE-2026-14681 CVE-2026-15741 CVE-2026-15742 CVE-2026-16239 CVE-2026-16241 CVE-2026-18024 CVE-2026-18408 CVE-2026-19385

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致执行任意代码、身份验证错误、信息泄露或特权提升。

    如果使用某些扩展，上 CVE-2026-6471 游补丁需要对配置进行更多更改。这会影响 Debian 中包含的 postgresql-17-wal2json、postgresql-17-squeeze、postgresql-17-pg-rewrite 和 postgresql-17-decoderbufs 扩展。
    引用变更日志：

    |将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库 | | 将逻辑解码输出插件限制为由新服务器参数“output_plugin_libraries”(Jacob | Champion) | 以前，复制用户可选择任何可加载的库用于逻辑解码，允许各种漏洞利用。要允许在不中断有效的设置的情况下将其锁定 | 之前，引入允许的输出插件的白名单。
    | | 默认情况下，仅作为 PostgreSQL（“pgoutput”和“test_decoding”）一部分运输的输出插件包含在“output_plugin_libraries”中。依赖于其他输出插件必须在更新服务器后添加它们，例如 | | output_plugin_libraries = 'pgoutput, test_decoding, my_trusted_decoder'

    对于稳定发行版本 (trixie)，已在版本 17.11-0+deb13u1 中修复这些问题。

    建议您升级 postgresql-17 程序包。

    如需了解 postgresql-17 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dsa-6438：libecpg-compat3 - 安全更新

high Nessus 插件 ID 335238

版本 1.1